本地Java客户端用服务账号调用Google API时access token返回null

你这问题踩了三个核心错误，按下面步骤改完就能通：

• 第一，Scope配置完全错误。你把API接口路径https://chat.googleapis.com/v1/spaces当成OAuth scope用了，剩下几个chat相关的scope也漏了/auth路径段——所有Google OAuth scope的格式都是https://www.googleapis.com/auth/xxx，你传的非法scope发给谷歌OAuth端点后，返回的根本不是正常token响应，当然解析不到access_token字段，refresh操作直接报错。
• 第二，非机器人模式调用Google Chat API，纯服务账号身份根本不被支持。服务账号默认只能代表自身身份，而Chat的用户侧接口只接受Workspace域内真实用户的身份凭证，你必须给服务账号开全域委派，模拟真实域用户拿token才有效，不然哪怕token拿到了调接口也是401/403。
• 第三，代码里新旧版Google Auth库混写，还多写了一次.build()，旧版GoogleCredential类没有配置模拟用户的前提下，不会主动触发token刷新逻辑，自然getAccessToken()永远返回null。

1. 修正Scope配置 #

删掉所有错误的scope定义，替换为合法值，迁移场景直接给全权限最省事：

public class ChatScopes {
    // 所有scope必须带/auth路径，禁止直接写API接口地址
    public static final String CHAT_FULL_SCOPE = "https://www.googleapis.com/auth/chat";
    public static final List<String> SCOPES = Collections.singletonList(CHAT_FULL_SCOPE);
}

2. 配置服务账号全域委派 #

这步是必做项，跳过必报错：

• 打开GCP控制台对应服务账号的详情页，勾选「启用全域委派」，复制生成的客户端ID
• 打开Workspace管理员后台，进入「安全>API控制>全域委派」配置页，添加刚才复制的客户端ID，把上面用到的Chat scope填入授权列表，保存后等待3-5分钟让配置生效

3. 加载凭证时指定模拟用户 #

弃用旧版GoogleCredential类，用新版google-auth-library的API，必须传入你要模拟的域内真实用户邮箱（比如专门用于迁移的Workspace账号邮箱，不要用服务账号自带的iam.gserviceaccount.com结尾的邮箱）：

// 加载服务账号密钥文件
ServiceAccountCredentials baseCreds = ServiceAccountCredentials
        .fromStream(AuthenticationService.class.getResourceAsStream(CERT_FILE))
        .createScoped(ChatScopes.SCOPES);
// 关键：配置模拟的域用户
GoogleCredentials credentials = baseCreds.createDelegated("migration-account@your-workspace-domain.com");
// 主动刷新验证token
credentials.refreshIfExpired();
// 这步不会再返回null
AccessToken validToken = credentials.getAccessToken();

4. 构建Chat客户端发起请求 #

用官方Chat客户端的时候，用HttpCredentialsAdapter包装凭证，删掉重复的build()调用：

Chat chatClient = new Chat.Builder(
        GoogleNetHttpTransport.newTrustedTransport(),
        GsonFactory.getDefaultInstance(),
        new HttpCredentialsAdapter(credentials)
)
        .setApplicationName(APP_NAME)
        .build();

// 测试列空间接口
ListSpacesResponse spaces = chatClient.spaces().list().execute();

• 如果刷新token还是报解析错误，先检查本地网络是否能正常访问谷歌OAuth服务，网络不通时返回的是HTML拦截页，自然解析不到access_token字段
• 全域委派配置有几分钟延迟，刚配完如果报403可以等一会再试
• 不要尝试用服务账号自身的邮箱作为模拟用户，该账号不属于Workspace域内用户，Chat接口不认

内容的提问来源于stack exchange，提问作者Mike