Google OAuth2.0服务器到服务器认证400错误排查求助

你在手动构建和签名JWT的过程中踩了几个关键的坑，导致Google OAuth服务器返回400错误。我帮你梳理下问题点和修复方案：

1. 私钥格式完全错误 #

你去掉了私钥首尾的-----BEGIN PRIVATE KEY-----和-----END PRIVATE KEY-----标记，这会直接导致签名无效！Google服务账号的私钥必须保留完整的格式，包括这些标记，还要确保私钥里的换行符正确（从JSON密钥文件读取的私钥通常会带\n转义，不要手动删除）。

2. 手动拼接JWT的风险 #

你手动编码header和payload再拼接签名，很容易出错——比如base64url编码的细节（URL安全字符处理）、字符串拼接的格式问题。其实jsonwebtoken库已经封装了完整的JWT生成流程，完全不需要手动做这些步骤。

3. 请求参数传递不规范 #

虽然你试了两种方式，但Google OAuth2服务更推荐将grant_type和assertion放在POST请求的x-www-form-urlencoded请求体中（而非查询参数），这是官方规范的传递方式。

修正后的完整代码 #

我用jsonwebtoken库重构了你的代码，修复了所有问题：

import moment from 'moment';
import jsonwebtoken from 'jsonwebtoken';
import axios from 'axios';

export const authentication = async function (): Promise<void> {
  try {
    const nowInUnix = moment().unix();
    // 务必保留完整私钥格式，包括首尾标记和换行
    const privateKey = `-----BEGIN PRIVATE KEY-----
MIIEvAIBADANBgkqhkiG9w0BAQEFAASCBKYwggSiAgEAAoIBAQCc9HWEZ2VtoIt5...........
-----END PRIVATE KEY-----`;

    // 用jsonwebtoken自动生成合规的JWT
    const jwtToken = jsonwebtoken.sign(
      {
        iss: 'service-account@my-project.iam.gserviceaccount.com',
        scope: 'https://www.googleapis.com/auth/devstorage.full_control',
        aud: 'https://oauth2.googleapis.com/token',
        exp: nowInUnix + 3600, // 最多设置1小时，符合Google的时间限制
        iat: nowInUnix
      },
      privateKey,
      {
        algorithm: 'RS256',
        header: { typ: 'JWT' }
      }
    );

    // 按规范传递参数到请求体
    const response = await axios.post('https://oauth2.googleapis.com/token', null, {
      params: {
        grant_type: 'urn:ietf:params:oauth:grant-type:jwt-bearer',
        assertion: jwtToken
      }
    });

    console.log('获取AccessToken成功:', response.data.access_token);
  } catch (e) {
    console.error('请求失败:', e.response?.data || e.message);
  }
};

额外检查项 #

• 确认服务账号已被授予Cloud Storage的对应权限（比如Storage Admin角色），且Cloud Storage API已启用。
• 检查iss字段是否完全匹配服务账号邮箱，不要有拼写错误。
• 如果从JSON密钥文件读取私钥，直接用JSON.parse解析后取private_key字段即可，不要手动修改格式。

内容的提问来源于stack exchange，提问作者rgd_dev