使用服务账号列出GSuite云端硬盘文件时出现401未授权错误

根据你描述的情况，既然基础配置（服务账号创建、密钥下载、全域委派、权限范围）都确认过了，那咱们可以从以下几个更细节的方向逐一排查：

• 验证被模拟用户的Drive资源权限
  服务账号模拟用户后，只能获取该用户实际有权访问的Drive资源。请手动登录userEmail对应的GSuite账号，尝试访问你要遍历的Drive文件/文件夹，确认用户本身拥有查看/编辑权限——如果用户自己都打不开这些资源，服务账号模拟后自然也会返回401。

• 核查全域委派权限范围的准确性与生效状态
  虽然你提到权限范围包含Drive，但请再去GSuite管理控制台的安全 > API控制 > 管理域宽委派中，确认对应服务账号客户端ID的权限范围，是否和代码里的SCOPES完全一致（比如正确的Drive范围是https://www.googleapis.com/auth/drive或https://www.googleapis.com/auth/drive.readonly，注意拼写和格式）。另外，新添加的权限范围可能需要等待10-30分钟才会完全生效，第一次配置后可以稍等再测试。

• 检查服务账号密钥的有效性
  尝试重新下载服务账号的JSON密钥文件，替换现有文件后再测试——有时候密钥文件可能因下载过程中损坏、格式转义错误导致私钥加载异常。同时确认credFromJson方法是否正确读取了JSON中的private_key字段，有没有丢失换行符或出现格式错误。

• 确认GoogleCredential的初始化细节
  虽然你的代码里已经调用了setServiceAccountUser(userEmail)，但可以打印credential.getServiceAccountUser()的返回值，确认模拟的用户邮箱没有拼写错误，也没有被后续代码意外覆盖。另外，确保JSON_FACTORY（通常是JacksonFactory.getDefaultInstance()）的初始化是正确的。

• 检查Google Drive API的启用状态
  登录Google Cloud Console，进入API和服务 > 已启用的API和服务，确认Google Drive API已经被启用。如果API未启用，即使权限配置正确，也会返回401或权限相关错误。

• 查看请求的身份验证日志
  可以给NetHttpTransport添加日志拦截器，打印请求头信息，验证Authorization中的Bearer令牌是否正常：

  NetHttpTransport HTTP_TRANSPORT = new NetHttpTransport.Builder()
      .addInterceptor(new HttpLoggingInterceptor().setLevel(HttpLoggingInterceptor.Level.HEADERS))
      .build();
  

  检查令牌是否存在、格式是否符合标准，也可以通过Google的令牌验证逻辑（本地验证，无需外链）确认令牌是否有效、是否包含正确的权限范围。

• 排查GSuite管理员的限制设置
  询问GSuite管理员，是否配置了服务账号模拟的限制策略——比如是否只允许该服务账号模拟特定组织单元（OU）的用户，或者是否有其他安全规则限制了服务账号的模拟行为。

内容的提问来源于stack exchange，提问作者RekaK