Node.js中用服务账号调用Google Calendar API遇403权限问题

核心问题分析 #

你通过前端OAuth成功订阅了日历watch，但后端用服务账号调用acl.list时返回403，主要是服务账号的身份验证、权限配置或用户共享操作存在疏漏，以下是逐一排查和解决的步骤：

排查与解决方案 #

1. 确认Google Calendar API已启用 #

• 登录你的Google Cloud项目控制台，搜索「Google Calendar API」
• 确保API状态为已启用，若未启用，点击「启用」按钮

2. 修复JWT客户端身份验证流程 #

你的代码中初始化了JWT客户端，但未显式完成授权步骤，这会导致请求未携带有效身份凭证。修改后端代码：

const jwtClient = new google.auth.JWT(
  serviceAccountKey.client_email,
  './service_account.json',
  serviceAccountKey.private_key,
  ['https://www.googleapis.com/auth/calendar']
);

// 新增：显式完成JWT授权
await jwtClient.authorize();

const calendarApi = google.calendar({ version: 'v3', auth: jwtClient });

const checkCalendarAccess = async (calendarId) => {
  try {
    const response = await calendarApi.acl.list({ calendarId: calendarId });
    const aclEntries = response.data.items;
    return aclEntries;
  } catch (error) {
    console.error('Error checking calendar access:', error);
    throw error;
  }
};

3. 验证用户共享日历的操作正确性 #

• 让用户重新确认：进入日历设置→「设置和共享」→「添加人员和群组」，输入服务账号邮箱，权限选择编辑者，确保邀请已发送并生效
• 注意：如果操作的是共享日历而非用户主日历，需确保传入的calendarId是该共享日历的正确ID（而非用户邮箱）

4. 检查服务账号权限与密钥有效性 #

• 确认服务账号的密钥文件service_account.json是从云控制台正确下载的，未过期或被篡改
• 在云控制台的IAM页面，检查服务账号是否拥有「Calendar API 编辑者」或等效的权限

5. 验证日历ID的准确性 #

如果调用的不是用户主日历，需先获取正确的日历ID：

• 可通过前端调用calendar.calendars.list接口，获取用户所有日历的ID列表，确认传入后端的calendarId无误

6. 域限制排查（针对Workspace/G Suite用户） #

若用户属于Google Workspace域，需联系域管理员确认：

• 是否允许外部服务账号访问域内用户的日历资源
• 是否在域控制台中开启了服务账号的API访问权限

测试建议 #

先调用calendar.calendars.get({ calendarId })测试基础访问权限，如果该请求成功，再测试acl.list接口，逐步缩小问题范围。

内容的提问来源于stack exchange，提问作者Peter Toth