调用Gmail API通过服务账号发邮件提示Delegation Denied错误如何解决

问题根源及解决方法 #

核心原因（按概率从高到低排序） #

• API方法参数填错：GmailService.Users.Messages.Send方法的第二个参数是要操作的用户标识，应该传你设定的模拟邮箱emailIwantToImpersonate@myDomain.com，或者固定值"me"（me会自动指向CreateWithUser指定的模拟账号）。你当前代码把收件人邮箱recipient填到了第二个参数位置，相当于请求模拟收件人账号发信，自然触发委托拒绝。你能正常调用Delegates.Create、SendAs.Create是因为这两个接口的第二个参数你都正确传了"me"。
• Workspace后台域范围委派的Scope授权不全：你代码里声明的Scopes需要和Google Workspace后台「域范围委派」页面给服务账号客户端ID授权的Scope列表完全匹配。你可以正常操作Gmail设置类接口，说明后台仅授权了GmailSettingsBasic、GmailSettingsSharing这类设置相关Scope，没有添加发信必须的https://www.googleapis.com/auth/gmail.send或者https://mail.google.com/ Scope。
• 后台授权的客户端ID错误：如果在Workspace后台配置域范围委派时，填的是服务账号邮箱、项目ID而非服务账号对应的纯数字客户端ID，会出现部分接口权限正常、部分接口被拒绝的异常。
• 权限缓存未生效：新配置的域范围委派权限最长需要15分钟才能全网生效，你如果配置完立刻测试也可能触发该错误。

验证修复步骤 #

1. 先修正发信调用代码，将第二个参数改为"me"：

var result = GmailAccess.Users.Messages.Send(myMsg, "me").Execute();

2. 进入Google Workspace管理后台，路径为「安全 > 访问权限和数据控制 > API 控制 > 域范围委派」，找到对应服务账号的授权条目，确认授权列表中包含https://www.googleapis.com/auth/gmail.send Scope，缺少则补加后等待10分钟再测试。
3. 清除本地Google API凭证缓存后重新生成凭证，避免旧权限缓存影响测试结果。

内容的提问来源于stack exchange，提问作者Neoterican