Google Classroom API已启用却提示被禁用的403错误如何解决

问题原因 #

• 报错指向的qa-classroom.sandbox.googleapis.com是Google Classroom的QA沙箱专属端点，不属于公开的正式Classroom API服务。你在开发者控制台启用的是公开正式版API，和沙箱服务互相独立，因此系统会判定沙箱API未启用。
• Classroom QA沙箱服务为定向邀请制，不支持个人开发者自主启用，未加入白名单的项目即使手动访问沙箱API的启用链接，也会返回权限拒绝的报错。
• 你的PHP客户端默认配置被修改为指向沙箱端点，导致所有请求都被路由到未授权的沙箱服务，因此即使正式API配置正确也无法正常调用。

解决方案 #

无需使用沙箱测试环境（绝大多数业务场景） #

在初始化Google客户端的代码中，手动指定正式版API的根地址和服务路径，覆盖默认的沙箱配置即可：

$connection = new Google_Client();
$connection->setClientId($clientId);
$connection->setSubject($delegatedAdmin);
$connection->useApplicationDefaultCredentials();
$connection->setIncludeGrantedScopes(true);
$connection->addScope(Google_Service_Classroom::CLASSROOM_COURSES);
// 追加以下两行配置指定正式环境端点
$connection->setRootUrl('https://classroom.googleapis.com/');
$connection->setServicePath('classroom/v1/');

$classroomService = new Google_Service_Classroom($connection);
$params = array(
    'pageSize' => 10,
    'pageToken' => NULL
);
$response = $classroomService->courses->listCourses($params);

配置完成后重新发起请求，就会正常路由到你已经启用的正式版Classroom API。

需要使用沙箱测试环境 #

如果你的业务需要使用沙箱做测试验证，需要先向Google Workspace开发者支持团队提交白名单申请，将你的云项目ID加入Classroom QA沙箱的允许访问列表，审核通过后才能正常启用并调用沙箱端点。

额外校验项 #

• 确认域范围委托配置中，你使用的客户端ID已关联https://www.googleapis.com/auth/classroom.courses作用域
• 确认$delegatedAdmin参数对应的账号拥有目标域的Classroom管理权限
• 可先通过本地生成的OAuth令牌直接调用https://classroom.googleapis.com/v1/courses接口，排除权限配置类问题

内容的提问来源于stack exchange，提问作者narcisrm