使用drive.file权限范围时，如何在Python中修改通过Google Picker选中的文件？

问题背景 #

我正在做一个基于Python Flask的项目，集成了Google Picker和Drive API，目标是让用户从Google Drive中选择文件并修改它们。出于安全和用户控制权的考虑，我使用了drive.file范围，而不是更宽泛的drive范围。

能正常工作的部分 #

• Google Picker
  • 成功实现了Google Picker，允许用户选择文件
  • Picker能正确获取文件名和文件ID
• 后端代码
  • 文件选中后，文件ID会发送到Flask后端
  • 尝试通过Drive API获取文件

遇到的问题 #

当我在后端通过文件ID获取文件内容时，收到以下404错误：

<HttpError 404 when requesting https://www.googleapis.com/drive/v3/files/1olvHA_c0bzHhMg2vYli-me8I5wvdYHRV5Hl7lgyDAko?fields=id%2C+name%2C+mimeType%2C+size&supportsAllDrives=true&alt=json returned "File not found: 1olvHA_c0bzHhMg2vYli-me8I5wvdYHRV5Hl7lgyDAko.". Details: "[{'message': 'File not found: 1olvHA_c0bzHhMg2vYli-me8I5wvdYHRV5Hl7lgyDAko.', 'domain': 'global', 'reason': 'notFound', 'location': 'fileId', 'locationType': 'parameter'}]">

看起来即使我使用了drive.file范围，并且通过Picker明确选择了文件，我还是没有权限访问这个文件。

代码概览 #

HTML + JavaScript（Picker 实现） #

<script type="text/javascript">
    function onApiLoad() {
        gapi.load('picker', { 'callback': onPickerApiLoad });
    }

    function onPickerApiLoad() {
        const oauthToken = '<YOUR_OAUTH_TOKEN>'; // 从后端安全获取
        const picker = new google.picker.PickerBuilder()
            .addView(google.picker.ViewId.DOCS)
            .setOAuthToken(oauthToken)
            .setDeveloperKey('<YOUR_API_KEY>')
            .setCallback(pickerCallback)
            .build();
        picker.setVisible(true);
    }

    function pickerCallback(data) {
        if (data.action === google.picker.Action.PICKED) {
            const file = data.docs[0];
            console.log('File ID:', file.id);

            // 将文件ID发送到后端处理
            fetch('/process_file', {
                method: 'POST',
                headers: { 'Content-Type': 'application/json' },
                body: JSON.stringify({ fileId: file.id }),
            })
                .then(response => response.json())
                .then(data => console.log('Backend response:', data))
                .catch(error => console.error('Error:', error));
        }
    }
</script>

Flask 后端代码 #

from flask import Flask, request, jsonify
from googleapiclient.discovery import build
from google.oauth2.credentials import Credentials
import io
from googleapiclient.http import MediaIoBaseUpload  # 原代码遗漏的导入

app = Flask(__name__)

SCOPES = ['https://www.googleapis.com/auth/drive.file']  # 受限范围

@app.route('/process_file', methods=['POST'])
def process_file():
    data = request.json
    file_id = data.get('fileId')

    credentials = Credentials.from_authorized_user_file('credentials.json', SCOPES)
    service = build('drive', 'v3', credentials=credentials)

    try:
        # 尝试获取文件元数据
        file_metadata = service.files().get(fileId=file_id, fields='id, name, mimeType').execute()
        print(f"File metadata: {file_metadata}")

        # 示例：修改文件内容
        request = service.files().get_media(fileId=file_id)
        file_content = request.execute()

        new_content = file_content.decode('utf-8') + '\nAppended Text.'
        media = MediaIoBaseUpload(io.BytesIO(new_content.encode()), mimetype='text/plain')

        updated_file = service.files().update(fileId=file_id, media_body=media).execute()
        return jsonify({'status': 'success', 'updatedFile': updated_file})

    except Exception as e:
        return jsonify({'status': 'error', 'message': str(e)}), 500

我的问题 #

1. 如何确保通过Google Picker选中的文件可以通过drive.file范围访问？
2. 是否需要额外步骤将Picker选择与Drive API访问令牌关联起来？
3. 这个问题是否与Picker生成文件ID的方式，或者选中文件的权限处理有关？

任何关于如何在使用drive.file范围时修改通过Google Picker选中的文件的见解或建议都将不胜感激。

我已经尝试过找答案，但只找到一个2011年的回答，没有详细说明如何操作。

我已经尝试过的方法：

• 确认文件ID从Picker正确传递到后端
• 验证OAuth令牌和API密钥可以用于其他Drive API操作（例如创建文件）
• 阅读Picker API和Drive API的文档，确认drive.file范围应该允许访问用户明确选择的文件

专家解答 #

问题根源分析 #

你遇到的404错误核心原因是：drive.file范围的权限是和特定的OAuth令牌绑定的，而你后端使用的credentials.json里的令牌，和Picker使用的OAuth令牌不是同一个上下文。

当用户通过Picker选择文件时，Picker使用的是前端获取的用户OAuth令牌，这个操作会给该令牌授予对选中文件的访问权限，但你后端加载的credentials.json很可能是另一个身份（比如服务账号，或者是之前保存的用户令牌，但不是当前Picker会话的令牌），所以后端的令牌没有访问这个文件的权限，Drive API用404来隐藏权限问题（避免泄露文件存在的信息）。

解决方案步骤 #

1. 前端同时传递文件ID和OAuth令牌

修改Picker的回调函数，把当前使用的OAuth令牌和文件ID一起发送到后端：

function pickerCallback(data) {
    if (data.action === google.picker.Action.PICKED) {
        const file = data.docs[0];
        console.log('File ID:', file.id);

        // 同时发送文件ID和当前的OAuth令牌
        fetch('/process_file', {
            method: 'POST',
            headers: { 'Content-Type': 'application/json' },
            body: JSON.stringify({ 
                fileId: file.id,
                oauthToken: oauthToken // 就是Picker初始化时用的那个令牌
            }),
        })
            .then(response => response.json())
            .then(data => console.log('Backend response:', data))
            .catch(error => console.error('Error:', error));
    }
}

2. 后端使用前端传递的令牌初始化Credentials

不要从本地文件加载凭据，而是用前端传来的用户OAuth令牌创建临时Credentials：

from flask import Flask, request, jsonify
from googleapiclient.discovery import build
from google.oauth2.credentials import Credentials
import io
from googleapiclient.http import MediaIoBaseUpload

app = Flask(__name__)

SCOPES = ['https://www.googleapis.com/auth/drive.file']

@app.route('/process_file', methods=['POST'])
def process_file():
    data = request.json
    file_id = data.get('fileId')
    oauth_token = data.get('oauthToken')

    # 用前端传递的令牌创建Credentials对象
    credentials = Credentials(
        token=oauth_token,
        scopes=SCOPES,
        token_uri='https://oauth2.googleapis.com/token',
        # 替换为你在Google Cloud Console创建的OAuth客户端ID和密钥
        client_id='YOUR_CLIENT_ID',
        client_secret='YOUR_CLIENT_SECRET'
    )
    service = build('drive', 'v3', credentials=credentials)

    try:
        # 共享驱动器文件需要加上supportsAllDrives=True
        file_metadata = service.files().get(
            fileId=file_id, 
            fields='id, name, mimeType',
            supportsAllDrives=True
        ).execute()
        print(f"File metadata: {file_metadata}")

        # 获取文件内容
        request = service.files().get_media(fileId=file_id, supportsAllDrives=True)
        file_content = request.execute()

        # 仅处理文本文件示例，可根据实际mimeType扩展
        if file_metadata['mimeType'] == 'text/plain':
            new_content = file_content.decode('utf-8') + '\nAppended Text.'
            media = MediaIoBaseUpload(
                io.BytesIO(new_content.encode()), 
                mimetype='text/plain',
                resumable=True
            )
            # 更新文件时同样加上supportsAllDrives=True
            updated_file = service.files().update(
                fileId=file_id, 
                media_body=media,
                supportsAllDrives=True
            ).execute()
            return jsonify({'status': 'success', 'updatedFile': updated_file})
        else:
            return jsonify({'status': 'error', 'message': 'Unsupported file type'}), 400

    except Exception as e:
        return jsonify({'status': 'error', 'message': str(e)}), 500

3. 额外注意事项

• 令牌有效期：用户OAuth访问令牌有效期通常为1小时，需要处理令牌过期的情况（比如前端实现刷新令牌逻辑）。
• 共享驱动器支持：如果用户选择的是共享驱动器中的文件，所有Drive API调用必须加上supportsAllDrives=True参数。
• 权限时效性：drive.file权限会在用户撤销应用授权后失效；如果使用离线访问（有刷新令牌），刷新令牌可用来获取新的访问令牌，继续访问该文件。

对你问题的逐个解答 #

1. 如何确保文件可访问？
   确保前后端使用的是同一个用户OAuth令牌——这个令牌是用户当前会话授权的，且通过Picker选择文件后，Google已自动给该令牌授予了文件访问权限。

2. 是否需要额外步骤关联Picker和令牌？
   不需要额外关联，只要Picker和后端使用同一个令牌，用户选择文件后Google会自动将文件权限附加到该令牌上，你只需要确保令牌正确传递到后端即可。

3. 是否和文件ID或权限处理有关？
   文件ID是正确的，问题出在权限处理：后端使用的令牌没有被授予该文件的访问权限（因为它不是Picker使用的那个令牌），Drive API用404而非403返回是出于安全考量。

备注：内容来源于stack exchange，提问作者kamipeer