Python为GCP Google Groups单独配置代理时OAuth2授权失败问题

你的问题核心是：OAuth令牌获取的请求没走代理——虽然你给API请求加了代理，但service_account凭据默认用不带代理的HTTP客户端请求oauth2.googleapis.com拿令牌，导致授权环节失败。另外你代码里的ProxyInfo配置有个小错误，也会加剧连接问题。

修正后的代码 #

import googleapiclient.discovery
import google_auth_httplib2
from google.oauth2 import service_account
from httplib2 import ProxyInfo, Http, socks
from urllib.parse import urlencode

CLOUD_IDENTITY_SERVICE_NAME = 'cloudidentity'
CLOUD_IDENTITY_API_VERSION = 'v1'
SCOPES = [
    'https://www.googleapis.com/auth/cloud-identity.groups'
]

# 重点1：修正ProxyInfo的proxy_host，去掉http://前缀，只留主机名
proxy = ProxyInfo(
    proxy_type=socks.PROXY_TYPE_HTTP,
    proxy_host='proxy.local',  # 这里不要加http://
    proxy_port=99999
)
# 创建带代理的HTTP客户端
proxy_http = Http(proxy_info=proxy)

# 重点2：让service_account凭据使用带代理的客户端获取令牌
credentials = service_account.Credentials.from_service_account_file(
    filename=_PATH_TO_CREDENTIALS,
    scopes=SCOPES
)
# 用带代理的HTTP客户端包装成auth库需要的Request对象
auth_request = google_auth_httplib2.Request(proxy_http)
# 强制刷新令牌（确保首次请求走代理）
credentials.refresh(auth_request)

# 构建带授权和代理的HTTP客户端
authorized_http = google_auth_httplib2.AuthorizedHttp(
    credentials,
    http=proxy_http
)

# 构建Cloud Identity服务
service = googleapiclient.discovery.build(
    CLOUD_IDENTITY_SERVICE_NAME,
    CLOUD_IDENTITY_API_VERSION,
    http=authorized_http
)

# 发起群组列表请求
query_params = urlencode({
    'page_size': 1000,
    'page_token': ''
})
request = service.groups().list(parent=f'customers/{_CUSTOMER_ID}')
request.uri += '&' + query_params
response = request.execute()

print(response)

关键修正点说明 #

1. ProxyHost格式错误：之前的proxy_host='http://proxy.local'是错误的，httplib2的ProxyInfo要求proxy_host只填主机名/IP，不能带协议前缀，否则会把整个字符串当作主机名解析，导致找不到服务器。
2. 令牌请求强制走代理：通过google_auth_httplib2.Request(proxy_http)把带代理的客户端包装成auth库认可的请求对象，再调用credentials.refresh()，确保获取OAuth令牌的请求也通过指定代理发送，而非默认的无代理客户端。
3. 隔离代理范围：这个配置只会让Cloud Identity（Google Groups相关）的请求走代理，BigQuery的连接可以单独创建不带代理的HTTP客户端，完全不受影响。

内容的提问来源于stack exchange，提问作者Ricardo