将范围限制为 Google 服务帐户的 Google Auth JWT 客户端中的单个文件

Question

我正在使用服务帐户来生成访问令牌以访问我的谷歌驱动器中的某些工作表。该访问令牌将发送给客户端用户，并使用该用户将访问我的工作表。但是不同的用户可以访问不同的工作表，我希望他们防止使用相同的访问令牌访问其他工作表。目前，服务帐号可以访问我的应用使用的所有文件。

为了生成访问令牌，我使用googleapis 的google.auth.JWT 模块。我使用 Firebase 云函数作为 Node 版本 10 的后端

这是我的代码，

        try {
            const jwtClient = new google.auth.JWT(
                key.client_email,
                null,
                key.private_key,
                ['https://www.googleapis.com/auth/drive',],     // drive scope
            );

            const accessToken = await jwtClient.authorize();

        } catch (error) {
            console.log(error)
            res.status(500).json(error)
        }

提前致谢

Answer 1

如果服务帐户的权限使令牌可以完全访问文件夹中的每个文件，这些令牌也将允许读取其他文档。我认为您可以通过更改文件本身的权限而不是提供通用访问令牌来解决此问题，从而授予特定用户对一组文档的权限。 Drive documentation 的这个页面描述了如何在文件级别更改权限并提供了一些 Node.js 示例。