Node.js接入Google DocumentAI遇PERMISSION_DENIED权限报错求助

该类报错核心为缺失documentai.processors.processOnline调用权限，由于你已尝试通过processorPath方法生成资源名仍复现相同问题，可直接排除代码路径拼接逻辑错误，按以下维度排查即可：

• 服务账号身份与权限匹配校验
  • 先确认当前Node.js进程实际加载的认证凭据身份：在初始化客户端后临时添加调试代码打印实际生效的凭据信息，通过await client.auth.getCredentials()获取返回值，核对client_email字段对应的账号，避免本地调试时凭据错配（例如把权限授给了服务账号，实际进程加载的是本地用户账号）
  • 给上述实际生效的账号授予包含documentai.processors.processOnline权限的角色，常用的合规内置角色为roles/documentai.editor，仅授予roles/documentai.viewer角色无法调用在线处理接口
  • 权限配置后存在1-2分钟的缓存生效延迟，不要刚修改完权限就立刻重试
• 处理器资源有效性与匹配校验
  • 直接到DocumentAI控制台的对应处理器详情页，复制页面展示的完整资源名称，替换代码中手动拼接的name字段，排除项目ID、区域标识、处理器ID的拼写错误（例如把us区域错写为us-central1、多打少打斜杠字符）
  • 核对处理器创建时选择的区域与代码中传入的location参数完全一致，跨区域的处理器即使资源名格式正确也会报资源不存在类权限错误
  • 确认处理器未被删除、未处于禁用状态，控制台内可正常看到该处理器的在线测试入口即为可用状态
• 项目侧服务配置校验
  • 确认当前项目已完整启用Document AI API，部分区域的服务端点为独立配置，全局API启用不代表目标区域的服务通道已开放
  • 若项目配置了VPC Service Controls、组织权限边界，需确认DocumentAI服务端点在允许访问的范围内，这类策略拦截的报错也会以PERMISSION_DENIED的形式返回

快速定位技巧：在控制台对应处理器的在线测试入口，上传同一个测试PDF文件验证返回结果。如果控制台测试可正常提取文本，说明处理器本身配置无问题，故障点100%在本地代码的认证凭据加载环节；如果控制台测试也报相同权限错，直接调整项目侧的IAM与服务配置即可。

你现有代码的文档处理逻辑符合接口规范：本地PDF读取、base64编码、请求体字段结构均无问题，无需在业务逻辑上反复调整。

内容的提问来源于stack exchange，提问作者CheapImpact