使用Apps Script开发Google Hangout机器人服务账号认证权限异常求助

问题原因及解决方案 #

核心问题1：Apps Script自动权限扫描触发授权弹窗 #

Apps Script平台会静态扫描代码中用到的API和相关权限，自动补全项目的OAuth scope列表，用户首次运行脚本时就会要求授权所有扫描到的scope，和你自行实现的服务账号认证逻辑无关。

• 解决方法：打开项目的appsscript.json清单文件，手动添加oauthScopes字段覆盖自动扫描结果，只保留你必须使用的UrlFetchApp对应权限即可：

{
  "timeZone": "Asia/Shanghai",
  "dependencies": {},
  "exceptionLogging": "STACKDRIVER",
  "runtimeVersion": "V8",
  "oauthScopes": ["https://www.googleapis.com/auth/script.external_request"]
}

核心问题2：服务账号认证参数缺失、配置不全 #

你当前的JWT生成逻辑和后台配置缺少服务账号访问Google Workspace资源的必要项：

1. 缺少模拟用户参数：如果需要读取用户日历、操作用户维度的Chat资源，需要在JWT的payload中添加sub字段，值为你要模拟的目标用户的Workspace邮箱地址，无此字段的话服务账号只能访问自身的资源，无法访问企业内用户的数据。
   修改generateAccessToken中的input参数部分即可：

input: {
  iss: SERVICE_ACCOUNT_EMAIL,
  scope: scopes.join(" "),
  aud: "https://oauth2.googleapis.com/token",
  sub: "xxx@your-workspace-domain.com" // 新增模拟用户字段
}

2. 未配置全域委派：

• 进入Google Cloud控制台对应项目的服务账号详情页，开启「全域委派」开关
• 登录Google Workspace管理后台，进入域范围委派页面，添加该服务账号的客户端ID，授权你用到的三个scope：https://www.googleapis.com/auth/calendar.readonly、https://www.googleapis.com/auth/chat.bot、https://www.googleapis.com/auth/script.external_request
• 确认项目中Chat API、Calendar API都已启用，如果是Chat事件触发机器人，还要在Chat API配置页选择认证方式为服务账号。

额外优化建议 #

你当前的getGoogleAccessToken方法每次调用都会重新请求token，建议将获取到的access_token缓存到CacheService或PropertiesService中，过期前再重新生成，避免频繁请求接口报错。

内容的提问来源于stack exchange，提问作者cking