Google Drive API本地正常，部署GAE后遇403权限不足错误

问题描述 #

使用Java Spring Boot开发的全栈应用，通过Google Drive API v3处理文件，本地运行时Drive API功能正常，但部署至GCP App Engine（GAE）后，执行创建文件等操作时触发403错误，错误提示为**"ACCESS_TOKEN_SCOPE_INSUFFICIENT"**。

关键细节 #

应用通过服务账号完成Google Drive API认证，代码中已配置必要的访问权限范围，但问题仅在GAE环境中出现。

GAE错误日志 #

com.google.api.client.googleapis.json.GoogleJsonResponseException: 403 Forbidden

POST https://www.googleapis.com/upload/drive/v3/files?fields=id&uploadType=resumable

{
  "code": 403,
  "details": [
    {
      "@type": "type.googleapis.com/google.rpc.ErrorInfo",
      "reason": "ACCESS_TOKEN_SCOPE_INSUFFICIENT",
      "domain": "googleapis.com",
      "metadata": {
        "method": "google.apps.drive.v3.DriveFiles.Create",
        "service": "drive.googleapis.com"
      }
    }
  ],
  "errors": [
    {
      "domain": "global",
      "message": "Insufficient Permission",
      "reason": "insufficientPermissions"
    }
  ],
  "message": "Request had insufficient authentication scopes.",
  "status": "PERMISSION_DENIED"
}

Drive服务初始化代码 #

public static Drive initDriveService() throws IOException {
    GoogleCredentials credentials = GoogleCredentials
                                    .getApplicationDefault() // 指向服务账号
                                    .createScoped(Collections.singleton(DriveScopes.DRIVE_FILE));

    HttpRequestInitializer requestInitializer = new HttpCredentialsAdapter(credentials);
    return new Drive.Builder(new NetHttpTransport(),GsonFactory.getDefaultInstance(),requestInitializer).setApplicationName("Demo Application").build();             
}

已尝试方案 #

• 确认服务账号拥有合适的权限与访问范围
• 代码中尝试添加多组权限范围：.createScoped(Arrays.asList("openid","https://www.googleapis.com/auth/userinfo.email","https://www.googleapis.com/auth/cloud-platform","https://www.googleapis.com/auth/drive.file"));
• 查询同类问题未找到有效解决方案

日志差异分析 #

• GAE启动日志：c.g.c.s.core.DefaultCredentialsProvider : Default credentials provider for Google Compute Engine.
• 本地启动日志：c.g.c.s.core.DefaultCredentialsProvider : Default credentials provider for service account xxxxxxxxxx.iam.gserviceaccount.com

这说明GAE环境中应用使用的是Compute Engine默认服务账号，而非本地测试时指定的自定义服务账号，二者权限配置不匹配导致了范围不足问题。

解决方案建议 #

1. 配置GAE服务账号的OAuth Scopes #

GAE运行时默认使用App Engine服务账号（格式：[项目ID]@appspot.gserviceaccount.com），需在GAE配置中显式声明所需的Drive API权限范围：

• 若使用GAE标准环境，修改app.yaml文件，添加OAuth scopes配置：

  runtime: java17
  service: default
  # 其他配置...
  oauth_scopes:
    - https://www.googleapis.com/auth/drive.file
    - https://www.googleapis.com/auth/cloud-platform
  

• 若使用GAE灵活环境，修改appengine-web.xml文件：

  <appengine-web-app xmlns="http://appengine.google.com/ns/1.0">
    <!-- 其他配置... -->
    <service-account>[项目ID]@appspot.gserviceaccount.com</service-account>
    <oauth-scopes>
      <scope>https://www.googleapis.com/auth/drive.file</scope>
      <scope>https://www.googleapis.com/auth/cloud-platform</scope>
    </oauth-scopes>
  </appengine-web-app>
  

2. 为GAE默认服务账号分配Drive API权限 #

进入GCP控制台「IAM与管理员」→「IAM」，找到App Engine默认服务账号，添加以下权限之一：

• Drive文件创建者（适合仅需创建/管理应用自身上传的文件）
• 编辑者（若需更广泛的Drive访问权限）

3. 可选：指定自定义服务账号（若需沿用本地测试的账号） #

若希望GAE使用本地测试的自定义服务账号，需：

1. 在app.yaml中指定服务账号邮箱：

   service_account: xxxxxxxxxx.iam.gserviceaccount.com
   

2. 确保该自定义服务账号在IAM中拥有「App Engine服务账号用户」角色，同时已分配Drive API所需权限。

4. 验证配置 #

重新部署应用后，查看GAE启动日志，确认凭证来源为目标服务账号，且执行Drive API操作时不再出现权限不足错误。

内容的提问来源于stack exchange，提问作者Vihanga Marasinghe