使用cloud-platform OAuth调用addFirebase API时遇403权限拒绝问题

当使用https://www.googleapis.com/auth/cloud-platform授权范围调用Firebase Management API的addFirebase接口时，返回如下403权限拒绝错误：

{
    "error": {
      "code": 403,
      "message": "The caller does not have permission",
      "status": "PERMISSION_DENIED"
    }
}

添加https://www.googleapis.com/auth/firebase范围后问题解决，但文档说明两个范围任意一个即可。结合实际经验，可能的原因如下：

可能的原因 #

• 首次关联Firebase的特殊权限校验
  全局的cloud-platform范围理论上覆盖所有Google Cloud资源操作，但对于从未关联过Firebase的Google Cloud项目，addFirebase属于初始化Firebase服务的特殊操作，API内部可能会强制校验是否有Firebase专属权限范围。这种场景下，cloud-platform的全局权限并未被映射到Firebase初始化操作的权限上，而firebase范围是专门针对Firebase资源管理的，刚好覆盖该初始化场景。

• 权限缓存延迟
  Google Cloud的权限系统（包括OAuth范围的生效）存在缓存机制，即使你是项目所有者，新配置的权限范围可能需要15-30分钟才能完全生效。你添加firebase范围后立即成功，可能只是刚好赶上缓存刷新，而非范围本身的必要性。

• 令牌生成的范围一致性问题
  如果你的有效令牌是在配置cloud-platform范围之前生成的，旧令牌的权限范围并未包含cloud-platform。添加firebase范围后重新生成的令牌才包含正确的权限，这种情况下看似是范围解决了问题，实际是旧令牌权限不足导致的。

验证建议 #

• 仅保留cloud-platform范围，重新生成OAuth令牌，等待30分钟后再次调用addFirebase接口，验证是否能成功。
• 若项目已关联Firebase，用仅含cloud-platform范围的令牌调用Firebase Management API的其他接口（比如projects.getFirebase），确认是否有权限，以此判断是初始化操作的特殊限制还是普遍权限问题。

内容的提问来源于stack exchange，提问作者mrmoldovan