如何通过Service Account访问Google文档并解决403权限问题

正确给服务账号添加文件/文件夹权限的步骤 #

• 先从Google Cloud控制台的「IAM与管理」→「服务账号」里复制目标服务账号的完整邮箱（格式类似：your-service-account@your-project.iam.gserviceaccount.com）
• 打开共享Drive中的目标文件夹或Docs文档，点击「共享」按钮，直接粘贴这个服务账号邮箱，分配合适的权限：生成PDF至少需要「查看者」权限，若需修改模板则选「编辑者」
• 若目标是共享Drive，需额外确认共享Drive的管理员已将服务账号添加为Drive成员（仅给单个文件权限可能无效，共享Drive本身需要授权）

排查403权限错误的常见点 #

• 核对服务账号邮箱是否完全正确，避免拼写错误
• 确保权限是直接授予服务账号邮箱，而非通过群组或其他间接方式
• 检查Google Cloud控制台是否已启用Google Drive API和Google Docs API（未启用API会直接返回403）
• 确认代码中使用的是服务账号的密钥文件，且客户端初始化逻辑正确（比如指定了正确的项目ID和API范围）

最小权限配置方案（无需全域委托） #

完全不需要使用全域委托，你可以采用以下最小权限策略：

• 给服务账号仅授权目标文件夹的权限，子文件会自动继承权限（确保文件夹权限设置为「允许子项继承权限」）
• 在代码中使用限定范围的API权限，比如https://www.googleapis.com/auth/drive.file，这个范围仅允许服务账号访问被明确共享给它的文件，完美匹配你的需求，避免过度授权

内容的提问来源于stack exchange，提问作者Rainbow-Anthony Lilico