无需共享表格至服务账号，从Cloud Function访问Google Sheets

核心排查点1：确认Cloud Function使用的服务账号是否正确 #

• 本地用的是GOOGLE_APPLICATION_CREDENTIALS里的服务账号，但Cloud Function默认会用项目的App Engine默认服务账号（[项目ID]@appspot.gserviceaccount.com），大概率和你本地的账号不一致。
• 查看方式：Cloud Console → 你的Cloud Function → 详情页 → 运行时服务账号，确认是否和本地密钥文件里的client_email一致。
• 修复：如果不一致，重新部署时指定服务账号：

  gcloud functions deploy 你的函数名 --runtime nodejs20 --service-account 你的服务账号邮箱 ...
  

核心排查点2：服务账号是否开启域范围委派权限 #

• 本地能模拟邮箱读取，是因为你的服务账号在Google Workspace Admin控制台开启了域范围委派，并配置了对应scopes。
• 检查方式：Google Workspace Admin Console → 安全 → API控制 → 域范围委派，找到你的服务账号，确认：
  • 状态是“已启用”
  • 已添加scopes：https://www.googleapis.com/auth/spreadsheets.readonly和https://www.googleapis.com/auth/drive.readonly
• 修复：如果没配置，添加服务账号并勾选启用，再补全上述两个scopes。

核心排查点3：Cloud Function环境变量是否配置正确 #

• 本地的GOOGLE_IMPERSONATE_EMAIL不会自动同步到Cloud Function，必须手动添加。
• 配置方式：Cloud Console → 你的Cloud Function → 编辑 → 运行时、构建、连接设置 → 环境变量 → 添加变量GOOGLE_IMPERSONATE_EMAIL，值为你要模拟的邮箱账号。

核心排查点4：确认Sheet的共享权限 #

• 确保所有需要读取的Google Sheets都已经共享给GOOGLE_IMPERSONATE_EMAIL对应的邮箱，权限至少设为“查看者”。
• 注意：别只共享给你自己的个人邮箱，必须共享给模拟的那个账号。

核心排查点5：给服务账号添加必要的IAM角色 #

• 模拟用户需要创建令牌，所以服务账号需要Service Account Token Creator角色。
• 添加方式：Cloud Console → IAM → 找到你的服务账号 → 编辑 → 添加角色 → 搜索“Service Account Token Creator”并保存。

代码层面的小检查 #

• 确保Cloud Function里的代码和本地一致，特别是auth配置的scopes和subject参数没有写错。
• 在Cloud Function里，google-auth-library会自动从元数据服务器获取凭据，不需要再指定密钥文件，代码可以保持不变。

内容的提问来源于stack exchange，提问作者Chiến Lệ