C# ASP.NET升级GA4遇invalid_grant错误：无效JWT签名

问题描述 #

从Google Analytics V3切换到V4后，使用新服务账号邮箱运行代码时触发错误：

Message = "Error:"invalid_grant", Description:"Invalid JWT Signature.", Uri:"""

旧V3服务账号邮箱可正常执行代码，但该账号绑定的Profile ID已失效，无法继续使用。

运行代码 #

string[] scopes = { AnalyticsReportingService.Scope.AnalyticsReadonly };

// 加载密钥文件
var certificate = new X509Certificate2(keyFilePath, "XXXXXXXXXXXXXXXXXX", X509KeyStorageFlags.Exportable);
var credential = new ServiceAccountCredential(new ServiceAccountCredential.Initializer(serviceAccountEmail)
{
    Scopes = scopes
}.FromCertificate(certificate));

var data = GetGAData(credential, "52424234234", DateTime.Now.AddDays(-90), DateTime.Now);

public static GetReportsResponse GetGAData(ServiceAccountCredential credential, string viewId, DateTime startDate, DateTime endDate, string nextPageToken = null)
{
    using (var svc = new AnalyticsReportingService(
    new BaseClientService.Initializer
    {
        HttpClientInitializer = credential
    }))
    {
        var mets = new List<Metric>
        {
            new Metric
            {
                Alias = "Page Views",
                Expression = "ga:pageViews"
            }
        };

        var dims = new List<Dimension>
        {
            new Dimension { Name = "ga:pagePath" }
        };

        var dateRange = new DateRange
        {
            StartDate = startDate.ToString("yyyy-MM-dd"),
            EndDate = endDate.ToString("yyyy-MM-dd")
        };

        var reportRequest = new ReportRequest
        {
            DateRanges = new List<DateRange> { dateRange },
            Dimensions = dims,
            Metrics = mets,
            ViewId = viewId,
            PageToken = nextPageToken
        };
        var getReportsRequest = new GetReportsRequest
        {
            ReportRequests = new List<ReportRequest> { reportRequest },
        };
        var batchRequest = svc.Reports.BatchGet(getReportsRequest);
        var response = batchRequest.Execute();

        return response;
    }
}

排查与解决步骤 #

1. 匹配密钥文件：新服务账号必须使用对应的专属JSON密钥文件，绝对不能复用旧账号的密钥。检查keyFilePath指向的是否是新账号在Google Cloud控制台生成的密钥文件。
2. 验证密钥密码：确认代码中填写的密钥密码（XXXXXXXXXXXXXXXXXX）与新密钥文件的密码完全一致，注意避免空格、转义字符等输入错误。
3. 配置GA4权限：登录GA4后台，进入「管理」→「访问权限管理」，添加新服务账号邮箱，授予「查看者」或「分析者」权限，确保账号能访问目标GA4资源。
4. 核对View ID：确认代码中的viewId是GA4对应的正确ID（GA4的ID格式与V3不同，需从GA4后台「管理」→「资源」中获取）。
5. 调整证书加载参数：尝试修改X509KeyStorageFlags为X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.PersistKeySet | X509KeyStorageFlags.Exportable，解决可能的证书加载权限问题。
6. 同步服务器时间：确保运行代码的服务器时间与NTP服务器同步，JWT签名对时间精度要求高，时间偏差超过5分钟可能导致签名验证失败。

内容的提问来源于stack exchange，提问作者Troy Steven