Google Drive API启用后权限范围如何？能否收窄credentials.json权限至指定共享文件夹？

首先明确基础规则：

默认配置下，为个人账号启用Google Drive API并完成授权时，授予的权限范围是对应该账号下Google Drive的全量操作权限，不存在天然限定在特定文件夹内的隔离机制。

各疑问的对应说明 #

1. 非自有应用使用现有全量权限凭证的安全风险 #

• 当前可访问全量Drive的credentials.json如果提供给非自有应用，对方可依托该权限读取、修改、删除你账号下Drive存储的全部文件，甚至可以批量同步你的Drive数据、发起外部分享操作，所有操作都会被Google识别为你本人的合规行为，没有额外的边界限制。
• 这类权限外泄后，不存在自动的权限拦截机制，直到你在自己的Google账号安全设置中手动撤销对对应应用的授权为止。

2. 缩小凭证权限至仅可访问指定共享文件夹的实现路径 #

• credentials.json本质是Google OAuth客户端的身份标识，本身不携带权限范围参数，权限边界是在用户授权环节通过申请的scope参数决定的，无法通过直接修改credentials.json文件内容缩小权限。
• 要实现仅访问指定共享文件夹，可通过两种方式落地：
  • 配置专属服务账号：在对应的Google Cloud项目下创建服务账号，将目标共享文件夹的编辑权限直接授予该服务账号的邮箱地址。后续应用直接通过服务账号身份调用Drive API，全程不需要走个人账号的OAuth授权流程，服务账号天然无法访问你个人Drive下的其他文件，仅能被授权访问已共享的指定文件夹。
  • 受限scope授权：发起OAuth授权流程时，不申请覆盖全量操作的https://www.googleapis.com/auth/drive权限，转而申请范围更小的drive.file权限。该权限的边界是仅能访问应用本身创建、或用户手动对该应用开放过的文件/文件夹，配合你手动将目标共享文件夹对该应用开放访问权限，即可限制应用无法触碰你Drive内的其他文件。
• 注意：如果之前已经完成了全量Drive权限的授权，必须先在账号安全设置中撤销对该应用的旧授权，再用小权限scope重新发起授权流程，才能让权限收窄生效。

3. 是否必须使用客户的谷歌账号才能实现需求 #

• 不需要强制使用客户的谷歌账号。上述服务账号方案，是在你自己的Google Cloud项目下创建专属身份，仅需要请文件夹所有者把指定共享文件夹的编辑权限共享给你的服务账号邮箱即可，全程不需要客户的个人账号参与API授权流程。
• 只有当目标共享文件夹所在的Drive域存在跨域访问限制时，才需要对应域的管理员放开必要的访问规则，不需要客户将个人账号的API权限凭证共享给你。

4. 同一谷歌账号下，不同项目创建的credentials.json权限是否一致 #

• credentials.json对应的实际权限边界，由调用授权流程时申请的scope参数决定，和credentials.json归属哪个Google Cloud项目没有绑定关系。
• 也就是说，同一个谷歌账号在不同项目下创建的多份credentials.json，只要在授权时申请的scope完全一致，最终拿到的操作权限就完全相同；反过来哪怕是同一份credentials.json，在不同的授权流程中申请不同的scope，拿到的权限也会存在差异。
• 不同项目下的credentials.json唯一的区别是，对应的API调用日志、用量数据会归集到对应项目的监控面板中，互相独立统计。

内容的提问来源于stack exchange，提问作者Neron Joseph