Google Apps Script通过apps-script-oauth2调用GitHub API时scope不生效问题

核心问题原因 #

1. 回调函数参数传递错误：authCallback中调用getGithubService()时未传入client_id、client_secret两个必填参数，导致回调阶段初始化的OAuth服务实例配置缺失，无法正确保留你设置的repo scope，最终生成的访问令牌没有绑定任何权限。
2. 组织私有仓库查询参数缺失：GitHub的/orgs/{org}/repos接口默认仅返回公共仓库，查询私有仓库需要额外添加参数。
3. 若使用GitHub App而非OAuth App，还可能存在后台权限配置不匹配的问题。

修复步骤 #

1. 修正OAuth服务初始化逻辑 #

建议将固定配置提为全局常量，避免参数传递错误，修正后代码参考：

// 替换为你自己的应用凭证
const CLIENT_ID = "你的GitHub应用Client ID";
const CLIENT_SECRET = "你的GitHub应用Client Secret";

function getGithubService() {
  return OAuth2.createService("GitHub")
    .setAuthorizationBaseUrl("https://github.com/login/oauth/authorize")
    .setTokenUrl("https://github.com/login/oauth/access_token")
    .setClientId(CLIENT_ID)
    .setClientSecret(CLIENT_SECRET)
    .setCallbackFunction("authCallback")
    .setPropertyStore(PropertiesService.getUserProperties())
    .setCache(CacheService.getUserCache())
    .setLock(LockService.getUserLock())
    .setScope("repo");
}

function authCallback(request) {
  let github_service = getGithubService();
  if (github_service.handleCallback(request)) {
    return HtmlService.createHtmlOutput("授权成功！");
  }
  return HtmlService.createHtmlOutput("授权失败！");
}

2. 清除旧的无效凭证 #

执行一次以下代码清空之前存储的无效令牌，避免旧缓存影响：

OAuth2.createService("GitHub").reset();

3. 调整仓库查询接口 #

调用组织仓库接口时添加type=private参数获取私有仓库：

let service = getGithubService();
let org_name = "你的组织名称";
let url = `https://api.github.com/orgs/${org_name}/repos?type=private`;
let response = UrlFetchApp.fetch(url, {
  headers: {
    Authorization: `token ${service.getAccessToken()}`,
    Accept: "application/vnd.github.v3+json"
  }
});
let repos = JSON.parse(response.getContentText());

4. GitHub App额外配置（仅使用GitHub App时需要） #

如果你使用的是GitHub App而非OAuth App，需要先在GitHub应用后台完成以下配置：

• 进入应用设置的Permissions & events页面，将Repository permissions下的Contents权限设置为可读权限
• 如果需要访问组织私有仓库，将Organization permissions下的Members权限设置为可读权限
• 重新授权时确认你已经授予该应用对应组织的访问权限，私有组织还需要管理员审批应用访问请求。

scope与应用权限的对应关系 #

• 如果你使用的是OAuth App：不需要提前在GitHub后台配置权限，授权请求中设置的scope就是最终令牌的权限范围，授权时用户同意对应scope即可生效。
• 如果你使用的是GitHub App：令牌权限是「后台配置的权限集」和「用户授权的权限集」的交集，后台未开启的权限即使在授权请求中申请也不会生效。

内容的提问来源于stack exchange，提问作者Tom