PHP调用Google Analytics 4 Admin API预配账号时遇令牌缺失/访问拒绝错误

错误原因分析 #

1. Error: Account token is missing #

该错误是因为你拼接的URL中存在双斜杠//TICKET_ID，导致系统无法正确解析路径中的票据ID——空字符串被识别为无效路径段，自然找不到有效的账号令牌。你修正斜杠的操作是正确的，但后续出现的权限错误需要从以下维度排查：

2. Error: Access denied #

结合你使用的alpha版本AnalyticsAdminService客户端，这个错误的可能原因包括：

• 服务账号权限不足
  创建预配票据的服务账号需要具备GA4账号预配的相关权限：

  • 确保对应的Google Cloud项目已启用Analytics Admin API；
  • 给服务账号分配Analytics Admin Editor角色（或alpha版本专属的预配权限），确保拥有创建账号的权限。

• 回调URL未正确配置
  创建票据时传入的redirectUri必须与Google Cloud控制台中OAuth 2.0客户端ID的授权回调URL完全匹配（包括协议、域名、端口、路径），不匹配会触发权限验证失败。

• 身份验证上下文问题
  预配流程需要用户使用有权限接受ToS并完成账号创建的Google账号登录。无痕窗口默认无登录会话，导致系统无法验证用户权限：

  • 先登录与预配请求关联的Google账号（比如服务账号所属项目的所有者/编辑者账号），再打开修正后的URL测试。

• alpha版本API行为差异
  alpha版本的API可能存在未公开的行为变化：

  • 不要手动拼接ToS URL，检查ProvisionAccountTicketResponse是否提供了直接的预配URL字段（比如provisioning_url），使用官方返回的URL更可靠；
  • 预配票据可能有较短的有效期，确认票据ID未过期。

排查步骤 #

• 登录Google Cloud控制台，验证Analytics Admin API已启用，且服务账号权限配置正确；
• 核对redirectUri与OAuth 2.0客户端ID的回调列表是否完全一致；
• 使用已登录权限账号的普通浏览器窗口打开修正斜杠后的URL；
• 检查ProvisionAccountTicketResponse的所有字段，优先使用官方返回的预配链接而非手动拼接；
• 确认预配票据ID未过期（若alpha版本支持相关接口，可通过API调用验证票据有效性）。

内容的提问来源于stack exchange，提问作者Andy Wallace