Google Apps Script doPost跨用户调用失败 表格写入权限报错

1. 初始测试代码存在语法错误：var headers: {"Authorization":...}为TypeScript语法，Apps Script基于JavaScript运行，变量赋值应使用=而非:，但该问题不是权限报错的核心诱因。
2. 核心触发原因：Web App部署为Execute as: Me模式时，若请求携带第三方OAuth令牌，脚本会自动切换为令牌对应身份执行，而非部署者身份。你Node端传入的是普通表单填写用户的OAuth令牌，这类用户通常仅拥有表单填写权限，没有目标Google表格的访问权限，因此执行SpreadsheetApp.openById()时抛出you don't have access to the document错误。
3. 代码逻辑存在兼容问题：doPost运行在Web App无界面环境，不存在「活动工作表」概念，直接调用getActiveSheet()会出现返回值不稳定的问题；手动拆分queryString获取参数的写法容易受URL编码、参数顺序影响出现解析错误。

• 重新部署Web App，确认部署参数：
  • Execute the app as 选择Me（你的部署账号邮箱）
  • Who has access to the app 选择Anyone, even anonymous，适配后端无用户登录态的调用场景
• 移除所有请求中的Authorization请求头：包括Apps Script测试代码、Node后端axios请求中的Bearer Token字段。Execute as: Me模式下脚本默认以部署者身份运行，无需额外传身份凭证，传入用户令牌反而会触发身份切换导致权限错误。
• 替换doPost内的参数解析、表格读取逻辑，使用内置API获取参数，避免手动字符串拆分，移除活动表调用：

function doPost(e) {
  // 直接通过内置parameter对象获取URL参数，无需手动拆分queryString
  const destinationId = e.parameter.destinationId;
  const uniqueId = e.parameter.uniqueId;
  const status = e.parameter.status;
  // 解析POST请求体数据
  const payload = JSON.parse(e.postData.contents);
  const comment = payload.comment;

  // 脚本以部署者身份运行，只要部署账号拥有目标表格编辑权限即可正常打开
  const ss = SpreadsheetApp.openById(destinationId);
  // 明确指定工作表，禁止在Web App环境使用getActiveSheet()
  const dataSheet = ss.getSheetByName("你的目标工作表名称") || ss.getSheets()[0];
  
  // 此处写原有行更新逻辑

  // 主动返回JSON格式响应，避免后端请求超时
  return ContentService.createTextOutput(JSON.stringify({
    code: 200,
    msg: "write success"
  })).setMimeType(ContentService.MimeType.JSON);
}

• 修正后的Apps Script端测试代码：

function merry2script() {
  var url = 'https://script.google.com/macros/s/AKfycbzM97wKyc0en6UrqXnVZuR9KLCf-UZAEpzfzZogbYApD9KChnnM/exec';
  var payload = {payloadToSend : 'string to send'};
  var options = {
    method : 'post',
    payload: payload
  }
  var response = UrlFetchApp.fetch(url, options).getContentText();
  Logger.log(response);
}

• Node端调用代码移除Authorization头即可正常触发：

const data = { comment };
let scriptId = process.env.DEPLOYMENT_SCRIPT_ID;
const config = {
  method: "post",
  url: `https://script.google.com/macros/s/${scriptId}/exec?destinationId=${destinationId}&uniqueId=${uniqueId}&status=${status}`,
  data
  // 移除headers内的Authorization字段
};
await axios(config);

每次修改Web App代码后，必须重新部署新版本并选择新版本号生效，否则修改的代码不会对外提供服务。部署时不要勾选「以开发模式运行」，开发模式仅允许脚本所有者本人访问。

内容的提问来源于stack exchange，提问作者Chirag Gupta