使用服务账户访问Google Search Console API时遭遇403 Forbidden错误

问题描述 #

使用服务账户访问Google Search Console API时持续返回403错误，已在Search Console中为服务账户邮箱配置完整权限，但问题未解决。

已执行的操作：

• 在Google Cloud Console创建新服务账户及密钥
• 在Google Search Console为服务账户邮箱添加完整权限
• 在Google Cloud Console启用Google Search Console API
• 使用OAuth 2.0 Playground手动测试API访问
• 在Google Colab编写极简Python脚本测试API访问

错误信息：

{ "error": { "message": "User does not have sufficient permission for site 'http://website.com'. See also: https://support.google.com/webmasters/answer/2451999.", "code": 403, "errors": [ { "reason": "forbidden", "message": "User does not have sufficient permission for site 'http://website.com'. See also: https://support.google.com/webmasters/answer/2451999.", "domain": "global" } ]

排查与解决方案 #

1. 核对站点URL完全一致 #

确保API请求中使用的站点URL与Search Console中添加的站点完全匹配，包括协议（http/https）、前缀（www/非www）。例如：Search Console中添加的是https://website.com，但请求用了http://website.com，会直接触发权限错误。

2. 确认服务账户权限生效 #

登录Search Console，进入对应站点的「设置」→「用户和权限」，检查服务账户邮箱是否在列表中，且权限为「所有者」或「完整权限」。权限添加后可能存在10-15分钟的延迟，等待后再重新测试。

3. 验证密钥文件正确性 #

确认代码中加载的是目标服务账户的JSON密钥文件，避免混用其他项目的密钥，同时检查密钥文件内容是否完整、未被篡改。

4. 修正OAuth 2.0 Playground测试方式 #

使用Playground测试时，需切换到「服务账户」模式：上传服务账户的JSON密钥文件，通过服务账户身份获取访问令牌，而非使用个人Google账号授权。

5. 检查站点ID格式匹配 #

Search Console API的站点ID分两种格式：

• 域名级站点：sc-domain:website.com
• URL前缀站点：http://website.com 或 https://website.com
  确保代码中使用的站点ID与你在Search Console中添加的站点类型完全匹配。

6. 确认项目与站点关联 #

检查服务账户所在的Google Cloud Console项目，是否与Search Console站点归属同一Google云组织（若存在）。跨组织的服务账户可能存在权限隔离问题。

内容的提问来源于stack exchange，提问作者user25291199