谷歌oauth2冒充服务帐户与 [e-mail]

Question

我想访问一些谷歌api服务：

< li>GDrive API < li >联系API < li >人员API

我正在使用oauth2模拟服务帐户流（您知道的：Google Oauth v2-服务帐户描述）。为了实现不健全化，您需要在Google应用程序控制台中应用“授权域范围权限”，下载相应的pk12文件，并在Google控制台项目中激活api。

目前我总是得到：

com.google.api.client.auth.oauth2.TokenResponseException: 401 Unauthorized
at com.google.api.client.auth.oauth2.TokenResponseException.from(TokenResponseException.java:105)
at com.google.api.client.auth.oauth2.TokenRequest.executeUnparsed(TokenRequest.java:287)
at com.google.api.client.auth.oauth2.TokenRequest.execute(TokenRequest.java:307)
at com.google.api.client.googleapis.auth.oauth2.GoogleCredential.executeRefreshToken(GoogleCredential.java:384)
at com.google.api.client.auth.oauth2.Credential.refreshToken(Credential.java:489)
at oauthsample.GDriveAPI.<init>(GDriveAPI.java:50)
at oauthsample.GDriveAPI.main(GDriveAPI.java:85)

这是我的代码：

        HttpTransport httpTransport = new NetHttpTransport();
        JacksonFactory jsonFactory = new JacksonFactory();    

        Set<String> scopes = new HashSet<String>();
        scopes.add("https://www.google.com/m8/feeds");

        GoogleCredential credential = new GoogleCredential.Builder()
                .setTransport(httpTransport)
                .setJsonFactory(JSON_FACTORY)
                .setServiceAccountId("[e-mail]")
                .setServiceAccountPrivateKeyFromP12File(new File("somep12key.p12"))
                .setServiceAccountScopes(scopes)
                .setServiceAccountUser("[e-mail]")
                .build();

       credential.refreshToken();
       ContactsService service = new ContactsService("MYAPP");
        service.getRequestFactory().setHeader("User-Agent", "MYAPP");
        service.setHeader("GData-Version", "3.0");
        service.setOAuth2Credentials(credential);

        URL feedUrl = new URL("https://www.google.com/m8/feeds/contacts/default/full");
        ContactFeed resultFeed = service.getFeed(feedUrl, ContactFeed.class);

我还在stackoverflow中进行了大量搜索（无法列出所有参考资料并检查回复和html" target="_blank">解决方案）。但是有一个问题从未得到明确回答——在谷歌文档中也没有，在所有stackoverflow帖子中也没有：

• 是否真的可以使用普通[e-mail]用户模拟一个服务帐户（我的意思是一个普通的gmail帐户，无法访问“将域范围的权限委托给服务号”一章中提到的管理控制台，并且没有自己的域）？

有人说是，有人说不是。那么绝对的事实是什么？

就我在阅读谷歌文档时所理解的：服务帐户只能在您负责自己的域时模拟用户，并且您需要有一个注册了自己域的谷歌工作帐户。然后，您可以访问管理控制台并授予对服务帐户的访问权限。

感谢您的耐心和时间回答。

最好的问候马特

Answer 1

简短的回答是不，不可能对@gmail.com帐户执行服务帐户模拟。关键原因是，尽管服务号OAuth流不涉及授权屏幕，但最终还是有人必须说“我授权此应用程序模拟此用户”。

在Google Apps域中，这个人就是域管理员，他有权批准域中所有用户的应用程序。对于@gmail.com帐户，没有其他机构可以代表您批准。如果您无论如何都必须请求用户授权，那么使用常规的三分支OAuth流来提示用户授权、获取刷新令牌等是有意义的。

现在有一个小技巧，你可以带一个@gmail.com用户通过常规的三足流程，一旦他们批准，从那时起使用服务帐户流程。这导致了一些奇怪的问题，所以我们禁用了这个选项。这可能是为什么过去对这是否可能存在分歧的原因。