调用Google Play Developer API遇401权限不足问题求助

我来帮你排查这个困扰你的401权限错误，结合我处理这类问题的实际经验，你可以按以下步骤逐一验证：

1. 确认OAuth授权范围是否正确 #

生成Refresh Token和Access Token时，必须指定**https://www.googleapis.com/auth/androidpublisher**这个权限范围。如果之前的POST请求里没加这个scope，生成的token根本没有访问Android Publisher API的权限。重新生成token时，一定要在请求参数里加上scope=https://www.googleapis.com/auth/androidpublisher。

2. 换用服务账号密钥生成Token #

你提到创建了OAuth 2.0 Client ID，但服务账号更适合用JSON密钥来生成token，而非普通的客户端凭证。试试这个方法：

• 回到Google Cloud控制台，找到你的服务账号，下载对应的JSON密钥文件
• 用gcloud命令生成有效访问token：

  gcloud auth activate-service-account --key-file=your-service-account-key.json
  gcloud auth print-access-token
  

• 把生成的token替换到你的curl命令里再测试，这一步往往能解决很多权限匹配问题。

3. 双重验证服务账号的权限配置 #

虽然你说已经把服务账号设为管理员，但要再确认两个点：

• 在Google Play Console的「用户与权限」里，服务账号的角色是管理员，并且已经勾选了「查看应用财务数据」等相关权限（不过管理员角色应该包含所有权限，但还是确认下）
• 进入「API访问」页面，确保服务账号已经被添加到「已授权的服务账号」列表里，并且关联的是正确的Cloud项目。

4. 检查请求参数的准确性 #

别忽略最基础的细节：

• {packageName}必须是你在Google Play Console发布的应用的完整包名，大小写要完全匹配
• {subscriptionId}是你在「订阅商品」里创建的官方ID，不是你自己内部定义的标识
• {token}是用户完成订阅后，你的客户端从Google Play返回的有效购买token，确保这个订阅没有被取消或过期。

5. 排查Token生成流程的正确性 #

如果你坚持用POST请求生成token，要注意服务账号的OAuth流程和普通用户不同：

• 正确的grant_type应该是urn:ietf:params:oauth:grant-type:jwt-bearer，而非authorization_code
• 请求里需要包含用服务账号密钥签名的JWT断言，而不是授权码。如果之前用的是普通用户的授权码流程，那生成的token自然没有服务账号的权限。

最后给你一个测试用的curl示例（替换成你的实际参数）：

curl -X GET "https://androidpublisher.googleapis.com/androidpublisher/v3/applications/com.your.app.package/purchases/subscriptions/sub_monthly/tokens/abc123xyz" \
-H "Authorization: Bearer YOUR_GENERATED_ACCESS_TOKEN" \
-H "Accept: application/json" --compressed

内容的提问来源于stack exchange，提问作者vicki