使用AccessToken调用Google Analytics Data API v1报403权限错误(Node.js)

问题描述 #

我通过OAuth认证及用户AccessToken访问Google Analytics 4（GA4）账户数据，此前访问Universal Analytics（UA）数据一切正常。但调用GA4的runReport接口时，返回403权限拒绝错误：

{
  "error": {
    "code": 403,
    "message": "User does not have sufficient permissions for this property. To learn more about Property ID, see https://developers.google.com/analytics/devguides/reporting/data/v1/property-id.",
    "status": "PERMISSION_DENIED"
  }
}

就算用我这个拥有所有属性所有者及管理员权限的账户测试，还是会报同样的错。我的Node.js服务端代码如下：

static async runReport (config: any) {
      const { userId, propertyId } = config;
      const token = await getUserGoogleAnalyticsAccessToken(userId);

      const response = await fetch(
          `https://analyticsdata.googleapis.com/v1beta/properties/${propertyId}:runReport`,
          {
            method: "POST",
            headers: {
          "Authorization": `Bearer ${token}`,
          "Content-Type": "application/json",
        },
        body: JSON.stringify({
          dimensions: [
            {
              name: 'country',
            },
          ],
          metrics: [
            {
              name: 'activeUsers',
            },
            {
              name: 'totalEvents',
            },
          ],
          dateRanges: [
            {
              startDate: '2023-01-01',
              endDate: '2023-01-31',
            },
          ],
        }),
      });

    console.log(response)

    if (response.status === 403) {
      console.log("Forbidden. Check your permissions and token.");
    }

已经确认当前token有效（能正常访问Google Analytics Reporting v4 API），userId和propertyId参数也传递正确，请问怎么解决这个权限问题？

解决方法 #

1. 核对OAuth授权范围 #

UA的Reporting v4和GA4的Data API共用https://www.googleapis.com/auth/analytics.readonly权限范围，但要确认你的OAuth应用在请求token时确实包含了这个范围，且用户授权时同意了该权限。如果之前只请求了旧的UA专属范围，得让用户重新授权，确保新token包含这个只读权限。

2. 确认Property ID是GA4格式 #

GA4的Property ID是纯数字（比如123456789），不是UA的UA-XXXXXX-X格式。检查你传入的propertyId是否是目标GA4属性的正确ID——在GA4后台“管理”->“属性设置”里能找到。

3. 检查用户对GA4属性的实际权限 #

就算你是账户级管理员，也不一定自动拥有所有GA4属性的访问权限。登录GA4后台，进入对应属性的“用户管理”，确认你的账户（或OAuth授权的用户）至少拥有查看者权限。账户级权限不会自动继承到所有GA4属性，得单独给目标属性分配权限。

4. 验证token的有效性和权限 #

用Google的TokenInfo工具验证token：把你的token代入https://oauth2.googleapis.com/tokeninfo?access_token=你的token，查看返回结果：

• scope字段必须包含https://www.googleapis.com/auth/analytics.readonly
• aud字段要和你的OAuth客户端ID匹配

5. 确认GA4属性已正常运行 #

如果GA4属性刚创建，还没上报过数据，可能会触发权限验证异常。先确认该属性已经有数据上报，或者完成了基础设置流程。

6. 改用官方客户端库发起请求 #

手动写fetch请求容易出隐藏问题（比如头部格式、参数序列化错误）。试试Google官方的Node.js客户端库@google-analytics/data，代码更简洁也更可靠：

const { BetaAnalyticsDataClient } = require('@google-analytics/data');

// 初始化客户端，传入已有的AccessToken
const client = new BetaAnalyticsDataClient({
  auth: `Bearer ${token}`
});

async function runReport() {
  const [response] = await client.runReport({
    property: `properties/${propertyId}`,
    dimensions: [{ name: 'country' }],
    metrics: [{ name: 'activeUsers' }, { name: 'totalEvents' }],
    dateRanges: [{ startDate: '2023-01-01', endDate: '2023-01-31' }],
  });
  console.log('报告结果:', response);
}

7. 清除token缓存重新授权 #

如果之前的token是针对UA生成的，可能没有GA4的访问权限。清除用户的token缓存，让用户重新授权，获取包含GA4权限的新token。

内容的提问来源于stack exchange，提问作者Guillermo FC