谷歌驱动器服务帐户和“未经授权的客户端或范围在请求”

Question

1,有效，2不可行。

返回的错误是“刷新OAuth2令牌时出错，消息：”{“error”：“unauthorized_client”，“error_description”：“请求中未授权的客户端或作用域。”}“

所有3个帐户都在开发人员控制台中注册。所有3个都被授权在谷歌应用程序控制台内进行“托管客户端API访问”。所有3个都有作用域“https://www.googleapis.com/auth/drive.readonly”。所有3在驱动器中，有一个特定的文件夹为它共享“仅查看”。

我使用PHP和我传递一个参数到页面称为“类型”，反映什么帐户的目的，1为公共，1为成员，1为管理。

例如

http://www.somehost.com/oauth_client.php?type=googledrive_admin

p12证书和用户值存储在服务器上。所有“ini”文件都具有相同的值结构、client_id、client_email、作用域和查询过滤器。在所有情况下，文件之间唯一更改的项是client_id和client_email。

    <?php

 include (__DIR__ . "/google-api-php-client/autoload.php");

 google_api_php_client_autoload("Google_Auth_AssertionCredentials");
 google_api_php_client_autoload("Google_Client");
 google_api_php_client_autoload("Google_Service_Drive");
 google_api_php_client_autoload("Google_Service_OAuth2");

 $type = $_GET['type'];
 $path = __DIR__ . "/secure/";
 $certificate = $path . $type . ".p12";
 $ini_path = $path . $type . ".ini";

 $ini = parse_ini_file($ini_path);
 $service_scope = $ini['scope'];
 $service_account_id = $ini['id'];
 $service_account_email = $ini['email'];
 $service_query = $ini['q'];

 $service_account_key = file_get_contents($certificate);
 $credentials = new Google_Auth_AssertionCredentials(
  $service_account_email,
  array($service_scope),
  $service_account_key
 );
 $credentials -> sub = $service_account_email;

 $google_client = new Google_Client();

 $google_client -> setAssertionCredentials($credentials);
 if ($google_client -> getAuth() -> isAccessTokenExpired()) {
  $google_client -> getAuth() -> refreshTokenWithAssertion(); **//FAILS HERE**
 }  

 $drive = new Google_Service_Drive($google_client);

 $result = array();
 $pageToken = NULL;

 do {
  try {
   $parameters = array();
   if ($pageToken) {
    $parameters['pageToken'] = $pageToken;
   }
   $parameters['q'] = $service_query;

   $files = $drive -> files -> listFiles($parameters);

   $result = array_merge($result, $files -> getItems());
   $pageToken = $files -> getNextPageToken();
  } catch (Exception $e) {
   print "An error occurred: " . $e -> getMessage();
   $pageToken = NULL;
  }
 } while ($pageToken);

 echo json_encode($result) . "\n";
?>

每个ini文件的结构如下

id="35{code}.apps.googleusercontent.com"
email="35{code}@developer.gserviceaccount.com"
scope="https://www.googleapis.com/auth/drive.readonly"
q="mimeType != 'application/vnd.google-apps.folder'"

我只是弄不明白为什么当我对所有服务帐户都经历了相同的过程时，这对一个服务帐户有效，而对其他服务帐户无效。任何想法和帮助都很感激。

Answer 1

感谢这篇文章和您关于“通过删除$credentials->sub=$service_account_email；行来解决”的评论

我在这里也面临着类似的问题。显然，$credentials->sub=$service_account_email只接受在Google Developers控制台中创建的第一个/主要服务帐户。除此之外，它还会在某些OAuth2作用域中产生意外错误（就像我在Fusion表中遇到的那样）。

因此，以下是一般性建议：