Google Picker API服务账号调用报403错误求助

问题背景 #

我正在开发一个允许用户将文件上传至我的Google Drive的Web应用。已创建服务账号并获取Google Picker的OAuth令牌，且确认令牌有效，但调用Google Picker API时返回403错误，仅当使用我的个人账号（myemail@example.com）登录时才可正常运行。已多日查找解决方案仍无结果，恳请各位提供建议。

现有代码 #

<?php

require_once '/vendor/autoload.php';
use Google\Client;
use Google\Service\Drive;

$client = new Client();
$client->setAuthConfig('service_account.json');

$client->setApplicationName("GooglePickerAPI");
$client->setScopes(['https://www.googleapis.com/auth/drive.file']);
$client->setSubject('myemail@example.com');
$client->setAccessType('offline');

$client->authorize()->get('https://www.googleapis.com/auth/drive.file');

// Get the access token
$accessToken = $client->getAccessToken();
$accessTokenJson = json_encode($accessToken);

?>

<!DOCTYPE html>
<html>
<head>
  <title>Picker API Quickstart</title>
  <meta charset="utf-8" />
</head>
<body>
<p>Picker API API Quickstart</p>

<!--Add buttons to upload-->
<button id="authorize_button" onclick="createPicker()">Upload</button>

<pre id="content" style="white-space: pre-wrap;"></pre>

<script type="text/javascript">
  let response = <?php echo $accessTokenJson; ?>

  const SCOPES = 'https://www.googleapis.com/auth/drive.file';
  const CLIENT_ID = 'MY_CLIENT_ID';
  const API_KEY = 'MY_API_KEY';
  const APP_ID = 'MY_APP_ID';

  let accessToken = response['access_token'];
  document.getElementById('authorize_button').style.visibility = 'visible';

  /**
   *  Create and render a Picker object for searching images.
   */
  function createPicker() {
    const view = new google.picker.View(google.picker.ViewId.DOCS);
    view.setMimeTypes('image/png,image/jpeg,image/jpg');
    const picker = new google.picker.PickerBuilder()
        .enableFeature(google.picker.Feature.NAV_HIDDEN)
        .enableFeature(google.picker.Feature.MULTISELECT_ENABLED)
        .setDeveloperKey(API_KEY)
        .setAppId(APP_ID)
        .setOAuthToken(accessToken)
        .addView(view)
        .addView(new google.picker.DocsUploadView())
        .setCallback(pickerCallback)
        .build();
    picker.setVisible(true);
  }

  /**
   * Displays the file details of the user's selection.
   * @param {object} data - Containers the user selection from the picker
   */
  async function pickerCallback(data) {
    if (data.action === google.picker.Action.PICKED) {
      let text = `Picker response: \n${JSON.stringify(data, null, 2)}\n`;
      const document = data[google.picker.Response.DOCUMENTS][0];
      const fileId = document[google.picker.Document.ID];
      console.log(fileId);
      const res = await gapi.client.drive.files.get({
        'fileId': fileId,
        'fields': '*',
      });
      text += `Drive API response for first document: \n${JSON.stringify(res.result, null, 2)}\n`;
      window.document.getElementById('content').innerText = text;
    }
  }
</script>
    <script type="text/javascript" src="https://apis.google.com/js/api.js?onload=onApiLoad"></script>
    <script>gapi.load("picker", "1");</script>    
</body>
</html>

排查与解决方案建议 #

• 域范围委派权限问题：你使用setSubject('myemail@example.com')模拟个人账号身份，仅当你的账号属于Google Workspace域，且域管理员已为该服务账号开启域范围委派并授权对应权限时才有效。普通个人Google账号不支持这种身份模拟，这是其他用户访问时触发403的核心原因之一。
• Google Picker API的设计限制：Picker API是面向用户端的交互工具，要求使用当前登录用户的OAuth令牌，而非服务账号令牌。服务账号无前端用户会话，无法代表普通用户发起Picker请求，仅能模拟你个人账号时正常运行。
• API密钥与客户端配置检查：
  • 确认Google Cloud控制台中已为API密钥启用Google Picker API，并配置了正确的引用来源（你的Web应用域名），否则会因跨域或权限拦截返回403。
  • 检查权限范围：drive.file仅允许访问应用创建/打开的文件，若需上传至你的Drive，可调整为https://www.googleapis.com/auth/drive（需注意权限合规性），但更合理的方式是调整实现逻辑。
• 调整实现思路：
  • 若目标是让用户上传文件至你的Drive，无需使用Google Picker，直接通过服务账号的Drive API接收用户上传的文件即可，避免Picker的用户交互限制。
  • 若需让用户选择自身Drive文件后同步至你的Drive，应引导用户完成OAuth授权，获取用户自身的令牌，而非使用服务账号模拟身份。
• 精准定位错误原因：打开浏览器开发者工具，查看Network请求中的具体错误响应，里面会包含reason等详细字段（如domainDelegationDisabled、invalidCredentials），可快速定位问题根源。

内容的提问来源于stack exchange，提问作者Jaguar Li