我有 3 个使用 Drive SDK 的服务帐户。

1，有效，2 无效。

返回的错误是“Error refreshing the OAuth2 token, message: '{ "error": "unauthorized_client", "error_description": "Unauthorized client or scope in request."}'"

所有 3 个帐户都已在开发者控制台中注册。 所有 3 个都被授权在 Google Apps 控制台中进行“Managed Client API access”。 所有 3 个都有范围“https://www.googleapis.com/auth/drive.readonly”。 所有 3 个都在驱动器中，有一个共享的特定文件夹以供“仅查看”。

我正在使用 PHP，我将一个参数传递给称为“类型”的页面，它反射(reflect)了帐户的用途，1 个用于公众，1 个用于成员(member)，1 个用于管理员。

例如

http://www.somehost.com/oauth_client.php?type=googledrive_admin

p12 证书和用户值存储在服务器上。所有“ini”文件都具有相同的值结构、client_id、client_email、范围和查询过滤器。在所有情况下，文件之间唯一发生变化的项目是 client_id 和 client_email。

我的代码如下:

    <?php

 include (__DIR__ . "/google-api-php-client/autoload.php");

 google_api_php_client_autoload("Google_Auth_AssertionCredentials");
 google_api_php_client_autoload("Google_Client");
 google_api_php_client_autoload("Google_Service_Drive");
 google_api_php_client_autoload("Google_Service_OAuth2");

 $type = $_GET['type'];
 $path = __DIR__ . "/secure/";
 $certificate = $path . $type . ".p12";
 $ini_path = $path . $type . ".ini";

 $ini = parse_ini_file($ini_path);
 $service_scope = $ini['scope'];
 $service_account_id = $ini['id'];
 $service_account_email = $ini['email'];
 $service_query = $ini['q'];

 $service_account_key = file_get_contents($certificate);
 $credentials = new Google_Auth_AssertionCredentials(
  $service_account_email,
  array($service_scope),
  $service_account_key
 );
 $credentials -> sub = $service_account_email;

 $google_client = new Google_Client();

 $google_client -> setAssertionCredentials($credentials);
 if ($google_client -> getAuth() -> isAccessTokenExpired()) {
  $google_client -> getAuth() -> refreshTokenWithAssertion(); **//FAILS HERE**
 }  

 $drive = new Google_Service_Drive($google_client);

 $result = array();
 $pageToken = NULL;

 do {
  try {
   $parameters = array();
   if ($pageToken) {
    $parameters['pageToken'] = $pageToken;
   }
   $parameters['q'] = $service_query;

   $files = $drive -> files -> listFiles($parameters);

   $result = array_merge($result, $files -> getItems());
   $pageToken = $files -> getNextPageToken();
  } catch (Exception $e) {
   print "An error occurred: " . $e -> getMessage();
   $pageToken = NULL;
  }
 } while ($pageToken);

 echo json_encode($result) . "\n";
?>

每个ini文件的结构如下

id="35{code}.apps.googleusercontent.com"
email="35{code}@developer.gserviceaccount.com"
scope="https://www.googleapis.com/auth/drive.readonly"
q="mimeType != 'application/vnd.google-apps.folder'"

我只是想不通的是，当我对所有服务帐户都执行了相同的过程时，为什么这适用于一个服务帐户而不适用于其他服务帐户。任何想法和帮助表示赞赏。

最佳答案

感谢您发表这篇文章以及您对“通过删除 $credentials -> sub = $service_account_email; 行解决”

我面临着类似的问题 here .显然，$credentials -> sub = $service_account_email 只接受在 Google Developers Console 中创建的第一个/主要服务帐户。除此之外，它还会在某些 OAuth2 范围内产生意外错误(就像我在 Fusion Tables 中遇到的那样)。

因此，这里是一般建议:

DO NOT include $credentials -> sub = $service_account_email unnecessarily.

Only do this when you are trying to impersonating a difference user (with the condition that the appropriate setup has been correctly done in Google Apps Admin Console).

Even though it may not produce any error under certain cases, there are some unexpected behaviors when including an email address of the service account itself in the JWT claim set as the value of the "sub" field.

关于php - Google 云端硬盘服务帐户和 "Unauthorized client or scope in request"，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/27297710/