调用Gmail服务insert MimeMessage返回400 invalid_grant签名错误如何解决

问题成因 #

• P12密钥文件异常：代码中使用的P12密钥文件不是对应服务账号生成的有效文件，或者文件存储、读取过程中出现损坏，导致无法生成合法的请求签名。
• 服务账号ID配置错误：setServiceAccountId方法传入的参数不是服务账号的完整邮箱格式ID（格式通常为{服务账号名}@{项目ID}.iam.gserviceaccount.com），ID错误会导致签名与服务账号信息不匹配。
• 域范围委托配置缺失：代码中使用setServiceAccountUser模拟域内用户发送请求，未在Google Workspace管理后台为该服务账号开通对应Gmail操作权限的域级委托授权，触发签名校验失败。
• 服务器时间偏差过大：运行代码的服务器本地时间与Google OAuth服务的标准时间偏差超过5分钟，生成的JWT令牌时间戳无效，引发签名校验不通过。
• 模拟用户账号异常：setServiceAccountUser传入的accountUser不是当前Google Workspace域下的有效启用账号，存在拼写错误或者账号被禁用的情况。

解决方法 #

• 重新生成并替换P12密钥：进入Google Cloud控制台对应服务账号的「密钥」管理页，重新生成P12格式的密钥，替换当前使用的文件，同时确认代码中urlFile路径指向的文件可读、无损坏。
• 核对服务账号ID：确认setServiceAccountId传入的参数和Google Cloud控制台中服务账号显示的完整ID完全一致，无拼写、格式错误。
• 配置域范围委托权限：登录Google Workspace管理后台，依次进入「安全→访问权限和数据控制→API控制→域范围授权」，添加当前服务账号的Client ID，授权范围填写https://www.googleapis.com/auth/gmail.insert，保存配置后等待2分钟左右生效。
• 同步服务器时间：将运行代码的服务器本地时间与NTP时间服务器同步，确保时间偏差在1分钟以内。
• 核对模拟用户账号：确认accountUser参数为当前Workspace域下的有效用户邮箱，拼写正确且账号处于启用状态。

内容的提问来源于stack exchange，提问作者Sara