Google Picker报Incorrect origin value错误 配置setOrigin仍无法解决

• 校验setOrigin传入值的正确性
  如果你当前页面嵌套在其他iframe内，直接使用window.location会取到iframe自身的地址，需要传入顶层页面的源：setOrigin(top.location.protocol + '//' + top.location.host)。可在调用build()方法前打印传入的origin值，和浏览器地址栏的实际地址对比，确保协议（http/https）、域名、端口（如有）完全一致。
• 确认setOrigin调用顺序正确
  必须在PickerBuilder的build()方法执行前调用setOrigin，示例代码如下：

  const picker = new google.picker.PickerBuilder()
    .addView(google.picker.ViewId.DOCS)
    .setOAuthToken(你的OAuth授权令牌)
    .setDeveloperKey(你的Google Cloud API密钥)
    // setOrigin 需在build前调用
    .setOrigin(top.location.protocol + '//' + top.location.host)
    .setCallback(选择结果回调方法)
    .build();
  picker.setVisible(true);
  

• 检查Google Cloud控制台授权配置
  确认你使用的OAuth 2.0客户端ID的「已授权的JavaScript来源」，以及API密钥的「网站限制」都已经添加了当前页面的完整源（比如报错中提到的https://local.kurzweil3000.com），不要漏写协议，也不要额外添加路径后缀。
• 检查站点自身的CSP配置
  确保你站点的Content Security Policy规则中，frame-src指令允许加载https://docs.google.com、https://accounts.google.com域名，避免自身的CSP规则拦截Picker的iframe加载。
• 排查代理/重写场景的异常
  如果你的站点存在反向代理、运行时域名重写逻辑，确认传递给Picker的origin没有被替换为内部域名、端口，和浏览器实际访问的地址完全一致。

内容的提问来源于stack exchange，提问作者Kurzweil Education