能否仅通过前端JavaScript（非Node.js）调用Google Drive API上传文件至服务账号？

嘿，这个问题问到点子上了——答案是不行，或者说，从安全和Google的API设计逻辑来看，这种做法既不现实也绝对不推荐，核心原因有这几点：

• Service Account的密钥不能暴露在前端
  Service Account的身份验证依赖于私钥（就是那个JSON格式的密钥文件），要生成有效的访问令牌必须用到这个私钥。但前端JavaScript代码是完全公开的，把私钥写在前端里，等于把你的Service Account权限直接拱手送给所有能看到页面源码的人——他们可以用这个密钥随意操作你Service Account名下Drive里的文件，删改上传全凭心意，这可是严重的安全漏洞，Google也明确禁止这种不安全的使用方式。

• Service Account的授权流程只能在后端完成
  Google Drive API针对Service Account的授权用的是OAuth 2.0的JWT断言流程，这个流程需要用私钥对请求进行签名，生成合法的身份令牌。而前端环境根本没有安全存储和使用私钥的能力，没法完成这个签名步骤，自然没法拿到合法的授权令牌去调用API。

替代方案 #

如果想实现纯前端上传到Google Drive，其实可以换个思路：

• 用普通OAuth 2.0授权码流程，让用户自己授权你的应用访问他们个人的Google Drive，这种方式不需要Service Account，前端可以通过Google的OAuth客户端SDK获取访问令牌，然后直接调用Drive API上传文件，但上传的文件会存在用户自己的Drive里，不是Service Account的存储空间。
• 如果一定要上传到Service Account的Drive，必须搭配一个后端服务：前端把文件传给后端，后端用Service Account的私钥完成授权、生成令牌，再调用Drive API完成上传操作，这样私钥始终保存在后端，不会暴露。

内容的提问来源于stack exchange，提问作者Alan Alvarez