Google Suite API授权异常：Node.js调用Gmail API遇未授权错误

我之前也碰到过一模一样的授权坑，结合你的操作流程和代码来看，这个unauthorized_client问题主要出在权限范围遗漏、语法错误、服务账号委派配置细节上，完全不用重新初始化整个流程，跟着下面的步骤逐一排查修复就行：

1. 补充Gmail相关的权限范围 #

你现在在G Suite域管理控制台添加的权限只有admin.directory.user和admin.directory.group，但你的需求是调用Gmail发送邮件，必须补上对应的Gmail权限：

• 在G Suite admin的权限范围列表中新增：https://www.googleapis.com/auth/gmail.send（最小权限，仅允许发送邮件）或者https://www.googleapis.com/auth/gmail.compose（允许撰写+发送）
• 同时确保你的service-key.json里的scopes字段包含这个新增权限，代码里_.values(KEY.scopes)会读取这个值，必须和域委派的范围完全一致

2. 修复代码中的低级语法错误 #

你的connect函数里有个明显的笔误，直接导致 impersonation 用户参数无效：

KEY.admin_email . // impersonated user

把多余的点去掉，修正为：

KEY.admin_email // impersonated user

这个错误是触发授权失败的直接原因之一！

3. 验证Impersonated用户的有效性 #

• 确保KEY.admin_email是你的G Suite域（lechorodescharentes.org）下的正式管理员账号，不能是外部邮箱（比如你测试用的dufourisabelle@orange.fr这种）
• 该账号必须正常拥有Gmail使用权限，且服务账号的域委派已经正确关联到你的G Suite域

4. 调整Nodemailer的OAuth2配置 #

服务账号的JWT认证不会生成refreshToken，可以直接去掉这个冗余参数；另外私钥在JSON文件中是转义的换行符，建议处理一下避免格式错误：

auth: {
  type: 'OAuth2',
  user: KEY.admin_email, // 必须是域内的 impersonated 用户
  serviceClient: KEY.client_id,
  privateKey: KEY.private_key.replace(/\\n/g, '\n'), // 修复私钥换行符格式
  accessToken: client.access_token,
  expires: client.expiry_date
}

5. 等待权限配置生效 #

G Suite的域级权限委派配置有时候需要5-15分钟才能同步生效，如果刚修改完配置，先等一会儿再测试，别着急重试。

6. 先测试基础认证流程 #

先简化代码，单独测试是否能成功获取访问令牌，排除发送邮件环节的干扰：

function testAuth() {
  const jwtClient = new google.auth.JWT(
    KEY.client_email,
    null,
    KEY.private_key.replace(/\\n/g, '\n'),
    ['https://www.googleapis.com/auth/gmail.send'], // 明确指定权限范围
    KEY.admin_email
  );
  jwtClient.authorize((err, tokens) => {
    if (err) {
      console.error('Auth error:', err);
    } else {
      console.log('Success! Access token:', tokens.access_token);
    }
  });
}
testAuth();

如果这个测试能成功拿到token，说明认证环节没问题，再去调试发送邮件的部分。

按照上面的步骤修复后，应该就能解决unauthorized_client的错误。核心问题是语法错误导致的impersonation参数无效，以及缺少Gmail的权限范围，这两个点是关键。

内容的提问来源于stack exchange，提问作者user762579