Google Analytics Webmaster API报403 insufficientPermissions错误求助

这种情况我碰到过不少，咱们一步步排查最可能的原因——既然你已经确认API在Explorer里能正常调用且已启用，那问题大概率出在服务账号的权限配置上：

• 服务账号缺少对应API的IAM角色/权限
  API Explorer用的是你个人的Google账号（通常拥有项目所有者或编辑级别的权限），但服务账号是独立的身份，需要单独为它分配目标API所需的具体权限。比如调用Drive API时，可能需要Drive File Viewer或Drive Editor角色；调用Sheets API时，需要Sheets Editor角色等。
  解决方法：打开Google Cloud Console的IAM页面，找到你的服务账号，添加对应的角色。注意：权限生效可能需要几分钟，别刚配置完就急着测试。

• 服务账号未被授权访问特定资源
  如果你要调用的是个人账号创建的资源（比如某个Google Sheet、Drive文件），服务账号默认没有访问权限——这些资源属于你的个人账号，而不是服务账号。但API Explorer用你的个人身份，自然能访问自己的资源。
  解决方法：把目标资源的访问权限共享给服务账号的邮箱（格式类似xxx@your-project.iam.gserviceaccount.com），就像共享给普通用户一样。如果是Google Workspace域内的资源，还需要配置域范围委派，让服务账号可以模拟域内用户访问（需要域管理员操作）。

• 凭证文件加载错误
  有时候代码里加载的服务账号JSON凭证文件不对，或者路径写错了，导致实际调用API的身份不是你配置了权限的那个服务账号。
  解决方法：检查代码中指定的凭证文件路径是否正确，确认JSON文件里的client_email字段是你已经配置权限的服务账号邮箱。可以在代码里临时打印出当前使用的服务账号邮箱，验证身份是否正确。

• API启用存在延迟（或启用的API不匹配）
  虽然你说已经启用了API，但Google Cloud的API启用偶尔会有几分钟的延迟。另外也要确认：你启用的API和代码中调用的API版本是否一致（比如启用了Drive API v2，但代码调用的是v3）——这种情况少见，但值得排查。
  解决方法：去Google Cloud Console的API Library，确认目标API确实处于启用状态，等待5-10分钟后再测试。

• 域范围委派配置不全（如果适用）
  如果你的服务账号需要访问Google Workspace域内的用户资源，除了IAM权限，还需要在Google Admin Console的「API控件」里，给服务账号授权对应的OAuth scopes，并且代码里要正确设置subject（要模拟的用户邮箱）。没配置这一步的话，服务账号无法访问域内用户的私有资源。
  解决方法：登录Google Admin Console，检查「安全」>「API控件」>「域范围委派」，确认已添加服务账号和所需的scopes，同时代码中正确设置模拟用户的参数。

先从服务账号IAM权限和资源共享这两点入手排查，这是最常见的原因。如果还是不行，再依次检查凭证和域委派的配置。

内容的提问来源于stack exchange，提问作者Gaurav Bakshi