调用Google Secure Token API报PERMISSION_DENIED 需配置哪些API控制台权限？

你遇到的403 PERMISSION_DENIED错误是授权凭证的权限范围不匹配你调用的接口要求导致的，按以下步骤排查配置即可解决：

1. 匹配接口对应scope
   你当前配置的https://mail.google.com/是Gmail的全量权限scope，如果你调用的是细分接口，优先匹配接口要求的细分scope，比如读邮件用gmail.readonly、修改邮件用gmail.modify、发送邮件用gmail.send，全量scope属于谷歌受限scope，默认权限校验更严格，非必要不要使用。
2. 谷歌云API控制台配置检查

• 确认你已经在「API和服务」-「库」中启用了Gmail API，未启用对应API哪怕scope配置正确也会报权限错误
• 进入「API和服务」-「OAuth同意屏幕」页面，将你需要用到的所有scope都添加到同意屏幕的授权scope列表中，未在此处注册的scope不会在授权时生效
• 如果你的应用处于测试状态未正式发布，需要将你用来测试的谷歌账号添加到同意屏幕的「测试用户」列表中，未被添加的测试账号授权后拿到的token不会包含受限scope的权限
• 确认你代码中发起OAuth授权请求时携带的scope列表，和控制台同意屏幕中配置的scope列表完全一致，拼写错误、多空格、漏写都会导致权限缺失

3. 授权凭证校验
   调用谷歌API时请求头中需要携带的是access_token，格式为Authorization: Bearer 你的access_token，id_token仅用于身份校验，不能作为API调用的授权凭证，如果你之前误传了id_token替换为正确的access_token即可。
4. 权限有效性验证
   你可以通过官方的OAuth 2.0 Playground工具，选择对应接口的scope完成授权后直接调用目标接口，即可快速定位是scope配置问题还是代码授权流程问题。

内容的提问来源于stack exchange，提问作者Pratiksha