Node.js使用Google API JWT授权时遭遇CORS错误

首先得明确你遇到问题的核心原因：JWT服务端认证方式根本不适合在前端浏览器环境中使用，这也是你碰到CORS和400错误的根源。

为什么会出现这些错误？ #

1. CORS限制：Google的accounts.google.com/o/oauth2/token接口是专门给服务端到服务端请求设计的，不会配置Access-Control-Allow-Origin响应头，所以前端浏览器直接跨域请求会被浏览器的同源策略拦截。
2. 400错误：就算绕过CORS（比如用代理），前端直接发送JWT授权请求也不符合Google的安全规范，而且你把服务账号的私钥（key.private_key）暴露在前端代码里，这本身就是严重的安全漏洞——任何人都可以拿到你的私钥冒充你的服务账号操作数据。

正确的解决方案：把JWT授权逻辑移到后端 #

服务账号的JWT认证必须在后端执行，前端通过调用自己的后端接口来获取Analytics数据，这样既避免了CORS问题，也保证了私钥的安全。

举个Node.js后端的实现例子

首先安装依赖：

npm install googleapis express

然后写后端代码（比如server.js）：

const google = require('googleapis');
const express = require('express');
const key = require('./key.json'); // 你的服务账号密钥文件，放在后端安全目录下

const app = express();
const PORT = 3000;

// 封装获取Analytics数据的函数
async function fetchGAVisits() {
  const jwtClient = new google.auth.JWT(
    key.client_email,
    null,
    key.private_key,
    ['https://www.googleapis.com/auth/analytics.readonly']
  );

  try {
    // 完成JWT授权
    await jwtClient.authorize();
    console.log('已成功通过JWT授权');

    // 初始化Analytics Reporting API客户端
    const analytics = google.analyticsreporting({ version: 'v4', auth: jwtClient });

    // 请求访问量数据（替换成你的GA视图ID）
    const response = await analytics.reports.batchGet({
      requestBody: {
        reportRequests: [
          {
            viewId: 'YOUR_GA_VIEW_ID', // 这里填你的GA视图ID，在GA后台管理页面可以找到
            dateRanges: [{ startDate: '7daysAgo', endDate: 'today' }],
            metrics: [{ expression: 'ga:sessions' }]
          }
        ]
      }
    });

    return response.data;
  } catch (error) {
    console.error('授权或获取数据失败:', error);
    throw error;
  }
}

// 暴露接口给前端调用
app.get('/api/ga/visits', async (req, res) => {
  try {
    const data = await fetchGAVisits();
    res.json(data);
  } catch (error) {
    res.status(500).json({ error: error.message });
  }
});

// 启动后端服务
app.listen(PORT, () => {
  console.log(`后端服务运行在 http://localhost:${PORT}`);
});

前端修改后的代码

前端不再直接处理JWT授权，而是调用后端接口：

// 这里前端不需要googleapis依赖了，可以移除相关引入
export const GA = {
  methods: {
    async getVisits () {
      try {
        // 调用自己的后端接口
        const response = await fetch('http://localhost:3000/api/ga/visits');
        if (!response.ok) throw new Error('请求失败');
        const data = await response.json();
        console.log('获取到GA访问量数据:', data);
        return data;
      } catch (err) {
        console.log('错误:', err);
      }
    }
  }
}

额外需要检查的配置 #

别忘了在Google Analytics后台给服务账号添加权限：

1. 登录Google Analytics后台，进入「管理」页面
2. 在「视图」层级，点击「用户管理」
3. 添加服务账号的邮箱（就是key.json里的client_email），设置权限为「读取者」
4. 保存后等待一段时间（可能需要几分钟到几小时），权限才会生效

内容的提问来源于stack exchange，提问作者Morten Hagh