在服务器端应用中访问Google Drive API时，服务账户认证是常用的无用户交互方案，适合定时同步文件、后台数据处理等不需要用户手动授权的场景，不需要用户登录即可完成API调用权限的获取。
服务账户与常规OAuth2授权的区别
常规OAuth2授权需要用户手动在浏览器中同意权限请求，适合面向终端用户的应用；而服务账户是Google Cloud平台为服务端应用创建的专用身份，相当于一个虚拟的用户账号，拥有独立的权限配置，不需要用户参与交互。
| 对比维度 | 常规OAuth2授权 | 服务账户认证 |
|---|---|---|
| 交互要求 | 需要用户手动授权 | 无需用户交互 |
| 适用场景 | 面向终端用户的应用 | 服务器端后台任务 |
| 权限配置 | 依赖用户账号权限 | 独立配置服务账户权限 |
创建服务账户并获取密钥文件
首先需要到Google Cloud控制台完成服务账户的创建和密钥下载，具体步骤如下：
- 进入Google Cloud项目，在左侧导航栏选择
IAM&管理>服务账户 - 点击创建服务账户，填写账户名称和描述，点击创建并继续
- 为服务账户分配
Google Drive API相关的权限，比如Drive 文件管理员或者Drive 只读权限 - 完成创建后，点击服务账户右侧的操作按钮，选择管理密钥，创建新的JSON类型密钥，下载到本地保存
服务账户认证的核心实现
服务账户认证的核心是通过密钥文件生成JWT令牌，再用令牌换取访问令牌，最终携带访问令牌调用Google Drive API。以下是Python语言的完整实现示例：
import json
from google.oauth2 import service_account
from googleapiclient.discovery import build
# 服务账户密钥文件路径
KEY_FILE_PATH = "path/to/your/service-account-key.json"
# 需要访问的Google Drive API范围
SCOPES = ["https://www.googleapis.com/auth/drive"]
def get_drive_service():
# 从密钥文件加载服务账户凭证
creds = service_account.Credentials.from_service_account_file(
KEY_FILE_PATH, scopes=SCOPES
)
# 构建Drive API客户端
service = build("drive", "v3", credentials=creds)
return service
def list_drive_files():
# 获取Drive服务实例
service = get_drive_service()
# 调用files.list接口获取文件列表
results = service.files().list(
pageSize=10, fields="nextPageToken, files(id, name, mimeType)"
).execute()
items = results.get("files", [])
if not items:
print("未找到任何文件")
else:
print("文件列表:")
for item in items:
print(f"{item['name']} ({item['mimeType']})")
if __name__ == "__main__":
list_drive_files()
常见问题说明
服务账户无法访问用户的Drive文件
默认情况下服务账户只能访问自己名下的Drive资源，如果需要访问普通用户的Drive文件，需要给服务账户配置域范围委派，或者将目标文件共享给服务账户的邮箱地址。
密钥文件的安全存储
密钥文件包含服务账户的敏感信息，不要提交到公开的代码仓库中，建议通过环境变量或者密钥管理服务来存储密钥内容，避免泄露导致权限被滥用。
API调用返回权限错误
如果出现权限不足的错误，首先检查服务账户是否被赋予了正确的Google Drive API权限，其次确认调用的API范围与分配的权限匹配，比如只读权限不能调用文件上传接口。
Google_Drive_API服务账户认证服务器端访问OAuth2修改时间：2026-06-23 20:06:33