使用PHP google/apiclient库无法模拟ServiceAccount问题排查

DevOps 小满

2026-6-30

问题

尝试使用ServiceAccount模拟账号访问Google表格（模拟拥有Owner角色的普通账号时可正常工作），但遇到403权限拒绝错误：

In REST.php line 134:
                                                             
  {                                                          
    "error": {                                               
      "code": 403,                                           
      "message": "The caller does not have permission",       
      "errors": [                                            
        {                                                      
          "message": "The caller does not have permission",   
          "domain": "global",                                
          "reason": "forbidden"                              
        }                                                      
      ],                                                       
      "status": "PERMISSION_DENIED"                          
    }                                                         
  }

已为该账号配置所需角色及测试用角色，开启域级委派并授权其使用https://www.googleapis.com/auth/spreadsheets权限。PHP客户端关键配置代码如下：

$googleClient = new Google_Client();
$googleClient->setApplicationName('app name');
$googleClient->setScopes('https://www.googleapis.com/auth/spreadsheets');
$googleClient->setAccessType('offline');
$googleClient->setAuthConfig('config/credentials/service_account.json');
$googleClient->setSubject('myserviceaccount@myserviceaccount.iam.gserviceaccount.com');       

$service = new Google_Service_Sheets($googleClient);
$response = $service->spreadsheets->get('myspreadhseetID');

service_account.json为从密钥页面下载的标准文件，请问如何解决此权限问题？

解决方案

修正setSubject参数：域级委派模拟时，setSubject必须填写要模拟的域内普通用户邮箱，而非服务账号自身邮箱。比如要模拟user@yourdomain.com，则修改为：
```
$googleClient->setSubject('user@yourdomain.com');
```
服务账号无法通过自身邮箱完成模拟，必须指定域内真实用户账号。
确认目标表格权限：确保被模拟的普通用户拥有目标Google表格的访问权限（如编辑、所有者权限）。若该用户本身无表格权限，服务账号模拟后也会触发权限拒绝。
验证域级委派配置：登录Google Admin控制台，检查域级委派列表中是否已添加服务账号的客户端ID，且授权的API范围包含https://www.googleapis.com/auth/spreadsheets，无拼写错误。
简化服务账号角色：域级委派场景下，服务账号无需额外配置项目级角色（如Editor/Owner），只需确保域委派设置正确即可，多余角色可能引发不必要的权限冲突。
清除授权缓存：若存在旧的授权缓存文件，直接删除后重启服务，避免缓存的错误权限信息干扰新请求。

内容的提问来源于stack exchange，提问作者Cristian