Google Drive服务账号遇401 Unauthorized异常，传入管理员邮箱仍未解决

针对你遇到的com.google.api.client.auth.oauth2.TokenResponseException: 401 Unauthorized问题——哪怕已经在代码中指定了ServiceAccountUser（管理员邮箱），这个异常大多和域委派配置遗漏或权限绑定错误有关，下面是我整理的排查和解决步骤：

1. 优先检查域管理员的域宽委派配置 #

这是最常见的触发原因：

• 登录Google Workspace管理员后台（admin.google.com），导航到「安全」>「API控制」>「域宽委派」
• 确认你已经添加了服务账号对应的OAuth 2.0客户端ID（注意不是服务账号邮箱，可在Google Cloud控制台「API和服务」>「凭据」中找到该服务账号的客户端ID）
• 检查该客户端ID对应的授权scopes是否和你代码中使用的完全一致，比如如果是Drive读写权限，要确保添加了https://www.googleapis.com/auth/drive这类完整的scope路径，不能有拼写错误

2. 验证ServiceAccountUser的有效性 #

• 你传入的user@sdfj.com必须是Google Workspace域内的活跃账号，且该账号拥有你请求的scopes对应的权限（比如如果要访问Drive，该账号需要有Drive的访问权限）
• 注意：这个账号不一定必须是域管理员，但服务账号必须被允许冒充该用户（这一步就是通过域宽委派配置实现的）

3. 确认私钥加载正确 #

• 检查serviceAccountPrivateKey是否完整：如果是从JSON密钥文件中读取的private_key字段，要确保保留了首尾的-----BEGIN PRIVATE KEY-----和-----END PRIVATE KEY-----，且换行符没有丢失
• 如果你之前用p12文件可以正常工作，换成直接加载私钥字符串时，要注意Java字符串的转义问题，推荐直接用JSON密钥文件流加载的方式（示例代码见下文）

4. 代码层面的优化建议 #

推荐使用更简洁的GoogleCredentials方式初始化（替代旧的GoogleCredential），减少手动配置出错的概率：

import com.google.api.client.googleapis.javanet.GoogleNetHttpTransport;
import com.google.api.client.json.jackson2.JacksonFactory;
import com.google.auth.oauth2.GoogleCredentials;
import com.google.auth.oauth2.ServiceAccountCredentials;

import java.io.FileInputStream;
import java.util.Collections;
import java.util.List;

// 定义scopes
List<String> scopes = Collections.singletonList("https://www.googleapis.com/auth/drive");

// 从JSON密钥文件加载凭据
GoogleCredentials credentials = ServiceAccountCredentials.fromStream(new FileInputStream("your-service-account-key.json"))
        .createDelegated("user@sdfj.com")
        .createScoped(scopes);

// 如果需要转换成旧的Credential对象（兼容原有代码）
Credential credential = new GoogleCredential.Builder()
        .setTransport(GoogleNetHttpTransport.newTrustedTransport())
        .setJsonFactory(JacksonFactory.getDefaultInstance())
        .setServiceAccountCredentials((ServiceAccountCredentials) credentials)
        .build();

如果坚持使用原有代码，确保HTTP_TRANSPORT和JSON_FACTORY是用官方推荐的方式初始化的：

HttpTransport HTTP_TRANSPORT = GoogleNetHttpTransport.newTrustedTransport();
JsonFactory JSON_FACTORY = JacksonFactory.getDefaultInstance();

5. 额外排查点 #

• 检查Google Cloud控制台中，该服务账号是否被启用，有没有被限制权限
• 确认你的项目已经启用了Google Drive API（在Google Cloud控制台「API和服务」>「已启用的API和服务」中检查）

内容的提问来源于stack exchange，提问作者vinit_tiwari