Python调用Gmail API时OAuth客户端授权失败，触发Google ADC重认证错误

嘿，我太懂你现在的糟心感了——明明是照着官方QuickStart的OAuth授权流程写的代码，结果却触发了ADC（应用默认凭据）的重认证提示，手动跑了gcloud命令也没解决，这确实挺让人摸不着头脑的。咱们一步步来拆解问题、解决它：

首先明确核心矛盾：你的代码逻辑是想用本地OAuth 2.0授权流（依赖自己的credentials.json和自动生成的token.json），但实际运行时却跑偏到了ADC的认证逻辑里，才抛出了RefreshError: Reauthentication is needed的错误。

下面给你几个针对性的解决步骤：

1. 先重置凭据，重新走完整授权流 #

现有token.json大概率已经失效、缺失refresh_token，或者权限不匹配，直接删掉它最省心：

• 找到你代码里的./credentials/token.json文件，直接删除
• 重新运行Python脚本，这时候会自动弹出浏览器，让你用目标Gmail账号（个人账号，不是公司托管的）完成授权
• 授权完成后，脚本会生成全新的token.json，里面会包含有效的access_token、refresh_token和权限范围

2. 排查ADC环境变量的干扰 #

系统里的环境变量可能会偷偷让Google客户端库优先用ADC，覆盖你代码里的OAuth逻辑：

• 检查GOOGLE_APPLICATION_CREDENTIALS这个环境变量：如果它指向了某个服务账号的密钥文件，就会强制触发ADC认证
  • Windows命令行里执行set GOOGLE_APPLICATION_CREDENTIALS=清空它，再重新运行脚本；Mac/Linux用unset GOOGLE_APPLICATION_CREDENTIALS

3. 修复代码里的凭据刷新逻辑小漏洞 #

看你提供的代码，在凭据检查和刷新的环节有个小问题，容易导致失效凭据无法被正确替换，我给你调整了下：

from google.auth.transport.requests import Request  # 必须确保导入这个Request类
from google.oauth2.credentials import Credentials
from googleapiclient.discovery import build
import os

def readCredentials():
    CLIENTSECRETS_LOCATION = './credentials/credentials.json'
    TOKEN_LOCATION = './credentials/token.json'
    SCOPES = ['https://www.googleapis.com/auth/gmail.readonly']
    creds = None

    # 优先加载本地已有的token
    if os.path.exists(TOKEN_LOCATION):
        print("Loading existing credentials from token.json")
        creds = Credentials.from_authorized_user_file(TOKEN_LOCATION, SCOPES)

    # 检查凭据有效性，无效则刷新或重新授权
    if not creds or not creds.valid:
        print("Credentials are not valid or expired.")
        # 尝试刷新凭据
        if creds and creds.expired and creds.refresh_token:
            print("Refreshing expired credentials...")
            try:
                creds.refresh(Request())
                # 刷新成功后保存新凭据
                with open(TOKEN_LOCATION, "w") as token:
                    token.write(creds.to_json())
            except Exception as e:
                print(f"凭据刷新失败: {e}")
                # 刷新失败就删掉旧token，准备重新授权
                os.remove(TOKEN_LOCATION)
                creds = None
        # 完全没有有效凭据，走全新授权流
        if not creds:
            print("No valid credentials available, initiating login flow.")
            flow = InstalledAppFlow.from_client_secrets_file(CLIENTSECRETS_LOCATION, SCOPES)
            creds = flow.run_local_server(port=8080)
            # 保存新生成的凭据
            with open(TOKEN_LOCATION, "w") as token:
                token.write(creds.to_json())
    return creds

这段优化后的代码会在凭据刷新失败时自动删除旧token，确保能触发完整的重新授权流程，避免卡在失效凭据上。

4. 清理之前gcloud命令留下的ADC凭据 #

你之前运行的gcloud auth application-default login会生成ADC的默认凭据，和你的OAuth流冲突，得把它撤销：

• 命令行执行gcloud auth application-default revoke，清空ADC的默认凭据
• 之后别再碰这个命令了，你的代码完全不需要ADC，靠本地OAuth流就够了

最后再走一遍验证流程 #

1. 清空GOOGLE_APPLICATION_CREDENTIALS环境变量
2. 删除旧的token.json
3. 运行调整后的脚本，完成账号授权
4. 脚本应该能正常输出Gmail标签列表，不会再触发ADC的重认证提示

如果还是有新的报错，把具体信息贴出来，咱们再接着排查~

内容来源于stack exchange