通过Google服务账户API访问Gmail邮箱查询邮件遇预检查失败错误

程序通过Google服务账户API连接Gmail邮箱查询邮件，已成功获取访问令牌，但调用API时触发错误：

The service gmail has thrown an exception. HttpStatusCode is BadRequest. Precondition check failed.

IDE环境：MS Visual Studio - C#

代码实现 #

ServiceAccountCredential cred;
//UserCredential cred;
string[] scopes = new string[] { GmailService.Scope.GmailLabels, GmailService.Scope.GmailModify, GmailService.Scope.MailGoogleCom };
using (var stream = new FileStream(@"C:\Users\user\Downloads\iwt-mail-crm-sync-135b79aaca90.json", FileMode.Open, FileAccess.Read))
{
    cred = ServiceAccountCredential.FromServiceAccountData(stream);
    cred.Scopes = scopes;
}
var gmailsvc = new GmailService(new Google.Apis.Services.BaseClientService.Initializer()
{
    HttpClientInitializer = cred,
    ApplicationName = "Gmail immoMail Listener",
});
var test = cred.RequestAccessTokenAsync(CancellationToken.None).Result;
try
{
    var usr = gmailsvc.Users.GetProfile("me").Execute();
    var lbl = gmailsvc.Users.Labels.List("adress@immowelt.de").Execute();
    var messages = gmailsvc.Users.Messages.List("adress@immowelt.de").Execute();
}
catch (Exception ex)
{
    Console.WriteLine(ex.Message);
}

错误说明 #

错误截图显示上述BadRequest错误提示信息。

解决方案 #

出现该错误的核心原因是服务账户未配置域范围委派，且未模拟目标用户身份，具体修复步骤如下：

1. 配置域范围委派

   • 登录Google Workspace管理员后台，找到对应服务账户，开启域范围委派权限。
   • 在API权限页面，为服务账户添加与代码中scopes匹配的Gmail API权限，授权给目标域或指定用户。

2. 修改代码，模拟目标用户
   创建ServiceAccountCredential时必须指定要访问的用户邮箱（即adress@immowelt.de），修改后的代码示例：

   using (var stream = new FileStream(@"C:\Users\user\Downloads\iwt-mail-crm-sync-135b79aaca90.json", FileMode.Open, FileAccess.Read))
   {
       var credential = GoogleCredential.FromStream(stream)
           .CreateScoped(scopes)
           .CreateWithUser("adress@immowelt.de"); // 新增：模拟目标用户身份
       cred = credential as ServiceAccountCredential;
   }
   

3. 注意事项

   • 服务账户仅支持访问Google Workspace域内的邮箱，普通个人Gmail账户无法通过服务账户直接访问。
   • 确保代码中使用的邮箱adress@immowelt.de是域内有效用户邮箱。
   • 检查scopes权限是否匹配需求，避免权限不足或冗余。

内容的提问来源于stack exchange，提问作者Jonathan