使用服务端ServiceAccount Token调用Google Analytics API遇JWT转AccessToken失败

我来帮你梳理几个排查这个错误的关键方向，都是实际开发中踩过的常见坑：

1. 手动生成JWT时遗漏了scope声明 #

你代码里的核心问题很明显：虽然创建GoogleCredential时指定了scope，但手动构建JWT的过程中没有把scope添加到JWT的声明里。Google的JWT Bearer Grant要求必须在JWT中包含scope字段，否则OAuth2服务无法识别你请求的权限范围，直接返回invalid_scope。

修改你的JWT创建代码，补上scope声明：

String signedJwt = JWT.create() 
    .withKeyId(privateKeyId) 
    .withIssuer("test-295@symbolic-folio-268713.iam.gserviceaccount.com") 
    .withAudience("https://oauth2.googleapis.com/token") 
    .withIssuedAt(new Date(now)) 
    .withExpiresAt(new Date(now + 3600 * 1000L))
    // 新增这一行，多个scope用空格分隔
    .withClaim("scope", "https://www.googleapis.com/auth/analytics https://www.googleapis.com/auth/analytics.readonly") 
    .sign(algorithm);

2. 修正curl命令的参数格式 #

你当前的curl命令里用了&，这是HTML转义后的符号，在终端执行时会被错误解析，导致参数传递异常。把&替换成普通的&：

curl -d 'grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer&assertion=<signed_JWT>' https://oauth2.googleapis.com/token

3. 验证JWT内容的正确性 #

把生成的signedJwt用JWT解析工具解码，重点检查以下核心字段：

• iss：必须和你的服务账号邮箱完全一致
• aud：必须是https://oauth2.googleapis.com/token
• exp：过期时间必须在签发时间（iat）之后，且不能超过1小时（Google对JWT的有效期限制）
• 确认存在scope字段，且值是你需要的权限字符串

4. 检查服务账号的GA权限配置 #

即使JWT正确，如果你的服务账号没有被授权访问目标Google Analytics资源，也可能触发权限相关错误（部分场景下会关联到invalid_scope提示）。请登录GA的Admin面板：

• 找到对应的属性/视图
• 进入「用户管理」页面
• 添加你的服务账号邮箱，赋予至少「查看者」权限（对应analytics.readonly scope），如果需要修改数据则添加编辑权限

5. 建议使用官方库简化流程 #

其实你已经引入了GoogleCredential，完全可以不用手动生成JWT和调用curl，官方库已经封装了完整的认证流程，能避免手动构建的错误：

credential.refreshToken();
String accessToken = credential.getAccessToken();

这一行代码会自动帮你生成符合要求的JWT、请求access_token，省去手动处理的繁琐步骤。

内容的提问来源于stack exchange，提问作者Fabrizio Stellato