调用Google Slides REST API时为何传入的API密钥会被忽略？

问题现象 #

在对接Slides REST API拉取演示文稿内容的过程中，先后尝试调用两类资源：

• 个人在Google Drive中创建的简单演示文稿
• 官方公开的示例演示文稿
  测试发起的请求格式如下：

https://slides.googleapis.com/v1/presentations/1EAYk18WDjIG-zp_0vLm3CsfQh_i8eXc67Jo2O9C6Vuc?fields=slides.objectId&key=********

测试时无论请求中是否携带已在Google Cloud项目中开通的有效API密钥，接口始终返回401鉴权错误：

"code": 401,
"message": "Request is missing required authentication credential. Expected OAuth 2 access token, login cookie or other valid authentication credential."

作为对比，此前使用完全相同的API密钥鉴权方式调用Sheets API时，未出现同类鉴权问题，核心疑惑是为什么Slides API会直接忽略请求中传入的API密钥。

核心原因 #

出现该差异的本质是两类接口的鉴权设计逻辑不同：

• API密钥的鉴权方式仅适用于无用户私有权限关联的公开数据类接口，这类接口仅校验调用方的项目配额，不需要识别调用者的真实身份
• Slides API属于关联Google Drive文件权限的资源类接口，所有演示文稿的访问都必须校验调用者对目标文件的实际操作权限，因此从接口设计层面就不支持无身份的API密钥鉴权方式——哪怕目标演示文稿是公开可访问的，接口也会直接忽略请求里携带的API密钥，强制要求携带合法的OAuth2访问令牌完成身份校验

这也是和Sheets API的核心差异：Sheets API为了兼容公开电子表格的无身份调用场景，开放了API密钥的鉴权通道，但Slides API从正式发布起就没有开放这类匿名鉴权能力。

调整方向 #

需要将原有的API密钥鉴权逻辑替换为标准OAuth2鉴权流程，根据实际业务场景匹配对应的令牌获取方式：

• 服务端定时拉取内容、无交互的场景，可通过服务账号模式生成长期有效的访问令牌
• 面向终端用户的交互式调用场景，可通过OAuth2授权流程，获取对应用户权限范围内的临时访问令牌

内容的提问来源于stack exchange，提问作者Chris B