使用Google Apps Script同步Google Workspace联系人遇401认证错误求助

核心问题分析 #

401错误本质是OAuth2凭证未被正确识别或授权范围不足，针对跨账号同步场景，重点排查凭证的跨账号有效性、授权流程合规性以及脚本中的token处理逻辑。

针对性排查与修复步骤 #

1. 调整凭证创建策略 #

• 不要用单账号创建的OAuth客户端ID共享给另一账号，每个账号必须单独创建自己的OAuth 2.0客户端ID。Google的OAuth凭证与项目/账号绑定，共享凭证无法实现跨账号有效认证。
• 确保两个账号的Google Cloud项目都启用People API，且各自创建的客户端ID类型为桌面应用（更适配Google Apps Script跨账号同步场景），而非Web应用。

2. 精简重定向URI配置 #

• 针对Google Apps Script场景，仅保留https://script.google.com/macros/d/{你的脚本ID}/usercallback作为重定向URI，移除localhost、OAuth Playground等其他地址，避免凭证匹配混乱。
• 配置完成后点击保存，等待5-10分钟让配置生效（Google凭证配置存在延迟）。

3. 改用脚本内原生授权流程（弃用OAuth Playground） #

OAuth Playground生成的token在Google Apps Script中兼容性较差，建议直接在脚本内完成授权：

• 通过「资源→库」添加OAuth2库，库ID为1B7FSrk5Zi6L1rSxxTDgDEUsPzlukDsi4KGuTMorsTQHhGBzBkMun4iDF
• 为两个账号分别构建OAuth服务，示例代码片段：

function getOAuthService(accountTag) {
  const clientConfig = accountTag === 'accountA' ? 
    {id: '账号A客户端ID', secret: '账号A客户端密钥'} : 
    {id: '账号B客户端ID', secret: '账号B客户端密钥'};
  
  return OAuth2.createService(`ContactSync_${accountTag}`)
    .setAuthorizationBaseUrl('https://accounts.google.com/o/oauth2/auth')
    .setTokenUrl('https://accounts.google.com/o/oauth2/token')
    .setClientId(clientConfig.id)
    .setClientSecret(clientConfig.secret)
    .setCallbackFunction('authCallback')
    .setPropertyStore(PropertiesService.getUserProperties())
    .setScope('https://www.googleapis.com/auth/contacts');
}

function authCallback(request) {
  const service = getOAuthService(request.parameter.state);
  const authorized = service.handleCallback(request);
  return HtmlService.createHtmlOutput(authorized ? '授权成功' : '授权失败');
}

• 分别运行对应账号的授权函数，完成浏览器端的授权确认，确保token被正确存储到用户属性中。

4. 验证Token权限与有效性 #

• 在脚本中添加token验证逻辑，检查access token的权限是否包含联系人访问范围：

function checkTokenValidity(accountTag) {
  const service = getOAuthService(accountTag);
  if (service.hasAccess()) {
    const token = service.getAccessToken();
    const response = UrlFetchApp.fetch(`https://www.googleapis.com/oauth2/v3/tokeninfo?access_token=${token}`);
    console.log(response.getContentText());
  } else {
    console.log('无有效访问凭证');
  }
}

• 如果返回的scope不包含https://www.googleapis.com/auth/contacts，需重新授权并确保勾选联系人访问权限。

5. 严格区分跨账号凭证 #

• 脚本处理两个账号的请求时，必须确保每个请求使用对应账号的OAuth服务生成的access token，绝对不能混用token。

额外注意事项 #

• 若使用Google Workspace账号，需确认管理员未禁用People API或OAuth授权权限。
• 若脚本为团队共享，需确保每个运行脚本的用户都完成了自身账号的OAuth授权，而非仅脚本所有者授权。

内容的提问来源于stack exchange，提问作者Jayashree Nandi