使用Google Admin Directory API获取的thumbnailPhotoUrl显示剪影，如何在自有应用正常展示？

核心原因 #

Google Workspace返回的thumbnailPhotoUrl是无身份凭证的匿名链接，浏览器加载IMG标签时不会自动携带用户的OAuth会话信息，所以请求会被判定为未授权，进而重定向到默认剪影。即便你网站做了OAuth2登录，这种跨资源的请求也不会自动带上凭证，且用户个人的“对任何人可见”隐私设置仅对Google生态内服务生效，第三方应用无法直接利用。

可行解决方案 #

1. 通过API直接获取头像二进制数据
   放弃直接使用thumbnailPhotoUrl，调用Admin Directory API的users.get接口并指定projection=full参数，提取响应里的thumbnailPhotoData（Base64编码的图片内容），前端将其转为Data URL展示：

   // 示例：将Base64数据转为可直接使用的图片地址
   const avatarSrc = `data:image/jpeg;base64,${从API获取的thumbnailPhotoData}`;
   document.querySelector('.user-avatar').src = avatarSrc;
   

   只要你的应用拥有https://www.googleapis.com/auth/admin.directory.user.readonly权限，就能获取组织内所有用户的头像数据，不受用户个人隐私设置限制。

2. 为头像URL附加临时访问令牌
   若坚持用thumbnailPhotoUrl，可以在URL后追加有效的OAuth访问令牌参数：

   <img src="https://lh3.googleusercontent.com/xxx/photo.jpg?access_token=你的临时访问令牌">
   

   注意：访问令牌有过期时间，需要在令牌刷新后同步更新该参数，且令牌需包含https://www.googleapis.com/auth/admin.directory.user.readonly或https://www.googleapis.com/auth/userinfo.profile权限。

3. 确认OAuth权限配置
   检查你的OAuth客户端是否申请了https://www.googleapis.com/auth/admin.directory.user.readonly权限，且已通过Google Workspace管理员在后台批准该权限——只有拥有管理员级别的用户读取权限，才能绕过个人隐私限制获取头像。

关键注意事项 #

• 不要在前端暴露长期有效的管理员令牌，建议通过后端代理处理API调用，由后端负责令牌的获取、刷新和头像数据的转发，前端只接收处理后的图片内容，避免令牌泄露风险。

内容的提问来源于stack exchange，提问作者doekman