本文介绍如何在不引入额外 HTTP 客户端（如 requests）且无需申请冗余 API 权限的前提下，利用 google-auth-oauthlib 原生能力，通过标准 OpenID Connect UserInfo 端点精准获取已登录用户的邮箱地址。
本文介绍如何在不引入额外 http 客户端（如 `requests`）且无需申请冗余 api 权限的前提下，利用 `google-auth-oauthlib` 原生能力，通过标准 openid connect userinfo 端点精准获取已登录用户的邮箱地址。
在基于 google-auth-oauthlib 实现 Google OAuth 的 Python Web 后端中，许多开发者误以为必须启用 Gmail、Drive 等高权限 scope（如 https://www.googleapis.com/auth/gmail.readonly）才能获取用户邮箱，或不得不额外引入 requests 库手动调用 REST API —— 这既违背最小权限原则，也增加了维护复杂度。
实际上，Google OAuth 2.0 原生支持 OpenID Connect（OIDC），只需声明标准的 openid 和 https://www.googleapis.com/auth/userinfo.email scope，即可在授权完成后，直接复用 Flow 对象内置的认证会话安全访问 UserInfo 端点，无需任何第三方 HTTP 库。
关键在于：flow.authorized_session() 返回一个已自动注入 Authorization: Bearer <access_token></access_token> 头的 requests.Session 实例（该实例由 google-auth-oauthlib 内部封装，不需显式导入 requests）。它完全兼容标准 HTTP 方法，且与当前 OAuth 流程无缝集成。
以下是精简、安全、符合最佳实践的实现示例：
读取并分析Google表格数据。当用户提到“Google表格”、“电子表格”、“表格”，或发送 docs.google.com/spreadsheets 链接时触发。
立即学习“Python免费学习笔记（深入）”；
import google_auth_oauthlib.flow
# 初始化 Flow，仅声明必要 scope
flow = google_auth_oauthlib.flow.Flow.from_client_secrets_file(
'client_secret.json',
scopes=[
'https://www.googleapis.com/auth/userinfo.email', # ✅ 仅邮箱权限
'https://www.googleapis.com/auth/userinfo.profile', # 可选：用于获取姓名等基础信息
'openid' # ✅ 必需：启用 OIDC
]
)
# （此处省略重定向、回调处理等标准 OAuth 步骤）
# 假设已完成授权，flow.credentials 已有效
# 使用 Flow 自带的认证会话调用 UserInfo 端点
userinfo_resp = flow.authorized_session().get(
'https://www.googleapis.com/oauth2/v3/userinfo'
)
# 检查响应状态
if userinfo_resp.status_code != 200:
raise RuntimeError(f"Failed to fetch user info: {userinfo_resp.status_code}")
userinfo = userinfo_resp.json()
email = userinfo.get('email')
is_verified = userinfo.get('email_verified', False)
print(f"User email: {email} (verified: {is_verified})")✅ 优势说明：
-
零额外依赖：全程仅使用
google-auth-oauthlib提供的接口，authorized_session()已封装完整认证逻辑； -
最小权限：仅需
userinfo.email+openid，无需 Gmail/Calendar/Drive 等敏感 scope，提升用户信任与审核通过率； -
标准合规：遵循 OIDC 规范，
/oauth2/v3/userinfo是 Google 官方推荐的 UserInfo 获取方式； - 安全可靠：Token 自动刷新与注入，避免手动管理 access token 的安全风险。
⚠️ 注意事项：
- 确保
client_secret.json已在 Google Cloud Console 正确配置，并启用 OAuth Consent Screen（至少为“外部”类型）； -
userinfo.emailscope 要求用户明确授权邮箱访问（会在授权页面显示 “View your email address”），这是隐私合规的必要环节； - 若需确保邮箱真实性，务必校验返回的
email_verified字段（值为true表示经 Google 验证）； - 不建议缓存
userinfo响应过久——用户邮箱可能变更，应在关键业务流程中按需实时获取。
综上，flow.authorized_session().get(...) 是 google-auth-oauthlib 生态中被低估却极其实用的功能，它完美弥合了高阶 OAuth 封装与底层 REST 调用之间的鸿沟，让“仅取邮箱”这一常见需求回归简洁、安全与规范。
