Google服务对服务认证失败：PHP应用调用Calendar API异常

我帮你梳理几个最容易踩坑的点，一步步排查应该能解决问题：

• 确认域范围授权的生效状态
  在Admin Console添加完Calendar权限范围后，Google的权限同步可能需要5-10分钟才会生效，不是实时的。另外要确保你是在安全 > API控制 > 域范围授权这个路径下操作的，选择的服务账号邮箱正确，权限范围https://www.googleapis.com/auth/calendar没有拼写错误（比如多打了斜杠或者字母）。

• 检查PHP代码中的关键配置
  服务账号认证的核心是「模拟域内用户」，很多人会漏掉这一步：

  1. 确保服务账号的JSON凭据文件路径正确，并且PHP进程有读取该文件的权限（比如不要把文件放在web根目录外又没设置对应权限）。
  2. 必须通过setSubject()指定一个域内有效用户的邮箱，因为服务账号本身没有Calendar数据，需要模拟一个有Calendar访问权限的真实用户。示例代码如下：

     putenv('GOOGLE_APPLICATION_CREDENTIALS=/absolute/path/to/your/service-account.json');
     $client = new Google\Client();
     $client->useApplicationDefaultCredentials();
     // 关键：替换成你域内的有效用户邮箱
     $client->setSubject('john.doe@your-school-domain.edu');
     $client->addScope(Google\Service\Calendar::CALENDAR);
     $calendarService = new Google\Service\Calendar($client);
     

  要是没加setSubject这行，大概率会出现权限不足的错误。

• 验证服务账号的域范围委派权限
  回到Google Cloud Console的服务账号页面，确认你创建的这个服务账号已经开启了域范围委派（创建时要勾选这个选项，如果当时没选，现在可以编辑服务账号启用它）。没有这个权限的话，服务账号根本没法模拟域内用户。

• 确认Google Calendar API已启用
  在Google Cloud Console的「API和服务」里，搜索并确认Google Calendar API已经被启用。很多人只创建了服务账号，却忘了启用对应API，这也会导致认证或调用失败。

• 捕获并查看具体错误信息
  给代码加上异常捕获，打印出详细的错误内容，这是最快定位问题的方法：

  try {
      // 尝试调用一个简单的API接口，比如获取日历列表
      $calendars = $calendarService->calendarList->listCalendarList();
      foreach ($calendars->getItems() as $calendar) {
          echo $calendar->getSummary() . "<br>";
      }
  } catch (Exception $e) {
      echo "具体错误：" . $e->getMessage();
  }
  

  比如如果错误是「Insufficient Permission」，那大概率是权限范围没加对或者模拟的用户没有Calendar权限；如果是「Invalid Credentials」，那可能是凭据文件有问题。

内容的提问来源于stack exchange，提问作者Jerry Lupo