python - 用户身份验证如何在使用 Python 的 Google Sheets API 中工作？

Question

我是一个相当新的开发者。我没有 OAuth2 经验，每次我尝试阅读它的解释时，我似乎都无法弄清楚它在实际意义上的含义。

这就是我想要完成的。我正在用 Python 编写一个应用程序，我希望能够读取任意 Google 表格并操作数据。我已经按照谷歌的官方指南here并设置 quickstart.py 示例。它工作正常，我已经能够毫无问题地扩展它来做其他事情——维护在快速入门指南中创建的特定文件设置。

这就是我感到困惑的地方。假设我希望其他人现在能够通过他们自己的电子表格和 Google 帐户使用我的应用程序。 client_secret.json 文件不是应用运行所必需的吗？但它(顾名思义)难道不应该保密吗？他们需要创建自己的凭据，对吗？但是，您不需要 client_secret.json 文件来首先创建凭据吗？这一切是如何运作的？

要使某人能够运行 Python 脚本并通过他们的帐户连接到第一个电子表格，需要准备什么？除了我自己的 Google 帐户和指南中描述的设置之外，我个人只是不明白 OAuth2 应该如何应用于这种特定情况。

也许这个问题似乎范围太广了。如果是这样，底线是:如何使用链接 here 中概述的 Python 快速入门示例并让它让任何人都可以在他们的计算机上运行脚本并让它工作？ (指导他们完成所有需要的设置，就像任何需要访问其 Google 帐户的普通应用程序一样)

Answer 1

也许一些混淆源于 client_secret 中的“client”一词。客户端是您的应用程序。是的，它的详细信息应该保密，因为任何拥有 client_secret 的人都可以冒充您的应用程序。除了麻烦之外，这种模拟的影响很小，因为它不会扩展到 Eve 能够访问 Alice 的数据。

您的应用的每个用户都需要通过 OAuth 流程才能让应用访问他们的数据。此权限体现在刷新 token 和访问 token 中，每个用户都需要保密。

如果您确实分发了 client_secret，请考虑使用牺牲(即虚假)Google 帐户。这样，任何滥用行为都不会影响您的主要 Google 帐户。

要考虑的替代方法是向您的用户提供有关如何在开发控制台上注册他们自己的应用程序的说明，从而生成他们自己的 client_secret。