Node.js调Google Admin SDK/Gmail API读Gmail报Delegation denied错误

你报Delegation denied for email@domain.com的核心原因是认证流程完全用错了：

• 你当前实现的是标准3条腿OAuth用户授权流程，这个流程拿到的令牌仅具备你授权的超管账号本身的权限，没有全域委派模拟其他用户的能力。哪怕你在管理后台配了全域委派也不会生效，因为你根本没用到服务账号（Service Account）的专属认证逻辑。
• 全域委派（Domain-wide Delegation）是服务账号独有的能力，必须使用服务账号密钥做JWT认证，同时指定要模拟的目标用户邮箱，才能拿到对应租户下任意用户的访问权限，普通用户OAuth令牌不支持跨用户委派访问。
• 补充说明：你提到服务账号与Workspace账号不属于同一主体、应用未发布，这两个点本身不影响全域委派生效，只要Workspace超管在自有租户后台给该外部服务账号配置了对应权限范围即可。

1. 先校验全域委派配置
   • 进入Google Workspace管理后台 > 安全 > 访问和数据控制 > API控制 > 全域委派
   • 确认已添加对应服务账号的客户端ID，且你列出的7个OAuth权限范围已经全部授权，无漏配、拼写错误
2. 替换认证逻辑：废弃当前的用户OAuth跳转授权流程，改用服务账号JWT认证
   • 从Google云控制台下载对应服务账号的JSON格式密钥文件
   • 认证时主动指定要模拟的超管邮箱，初始化带委派能力的auth客户端
   • 注意：服务账号+全域委派是服务端静默认证流程，不需要你之前写的浏览器跳转、cookie存令牌逻辑，不需要用户手动操作授权，配置正确后服务端可直接调用接口
3. 接口调用注意事项
   • 列用户、读取用户邮件时，userId参数直接填对应用户的邮箱即可，不要用me占位符
   • 你之前配置的权限范围已经覆盖列用户、读写邮件的需求，不需要额外增减

先安装对应依赖：npm install googleapis@latest

const { google } = require('googleapis');
const path = require('path');

// 替换为你下载的服务账号JSON密钥文件路径
const SERVICE_ACCOUNT_KEY = require(path.join(__dirname, './service-account-key.json'));
// 替换为你租户下的有效超管邮箱
const DELEGATED_ADMIN_EMAIL = 'email@domain.com';
// 权限范围和之前保持一致即可
const REQUEST_SCOPES = [
  'https://www.googleapis.com/auth/gmail.readonly',
  'https://www.googleapis.com/auth/gmail.modify',
  'https://www.googleapis.com/auth/admin.directory.user.readonly',
  'https://www.googleapis.com/auth/admin.directory.user',
  'https://www.googleapis.com/auth/admin.directory.domain',
  'https://www.googleapis.com/auth/gmail.settings.sharing',
  'https://www.googleapis.com/auth/admin.directory.user.security'
];

// 初始化支持全域委派的认证客户端
async function getDelegatedAuthClient() {
  const authClient = new google.auth.JWT(
    SERVICE_ACCOUNT_KEY.client_email,
    null,
    SERVICE_ACCOUNT_KEY.private_key,
    REQUEST_SCOPES,
    DELEGATED_ADMIN_EMAIL // 该参数为指定模拟的用户，是全域委派生效的核心配置
  );
  await authClient.authorize();
  return authClient;
}

async function admin_sdk_read_gmail() {
  const auth = await getDelegatedAuthClient();
  // 拉取域下用户列表
  const adminService = google.admin({ version: 'directory_v1', auth });
  const userListRes = await adminService.users.list({
    customer: 'my_customer',
    maxResults: 10,
    orderBy: 'email',
  });
  const users = userListRes.data.users;
  if (!users?.length) {
    console.log('未查询到域下有效用户');
    return;
  }
  console.log('域下用户列表：');
  users.forEach(user => console.log(user.primaryEmail));

  // 读取目标用户邮件，示例读取列表中第二个用户的邮件
  const targetUser = users[1].primaryEmail;
  const gmailService = google.gmail({ version: 'v1', auth });
  const mailListRes = await gmailService.users.messages.list({
    userId: targetUser,
    maxResults: 500,
    q: 'in:anywhere after:2022/07/01 before:2022/07/08'
  });
  console.log(`用户${targetUser}的符合条件邮件：`, mailListRes.data);
}

// 执行方法
admin_sdk_read_gmail().catch(err => {
  console.error('接口调用报错：', err);
});

如果改完认证逻辑仍报错，按顺序校验：

• 服务账号JSON密钥是否正确，没有混用其他服务账号的密钥
• 全域委派配置里填写的客户端ID，和当前使用服务账号的客户端ID完全一致（注意是纯数字的客户端ID，不是服务账号邮箱）
• 授权的权限范围无拼写错误、无多余空格
• 你配置的模拟超管账号是该租户下的有效账号，未被暂停、删除，且确实具备超级管理员权限

内容的提问来源于stack exchange，提问作者imtiyaz