要通过REST API访问Google云存储到另一个用户帐户，在使用OAuth2.0验证后，HTTP 403将被回复

Question

下面显示了我用一个Google帐户成功开发应用程序后到目前为止所做的工作。

我已经创建了另一个启用Google云存储的Google帐户，以测试我是否可以使用一个帐户注册API项目，然后使用此客户端ID(

>

电子邮件帐户1拥有API项目1，并创建桶/对象谷歌云服务帐户到电子邮件帐户1

"电子邮件帐户1"拥有"API项目1"，并创建桶/对象谷歌云服务帐户到"电子邮件帐户2"

“电子邮件帐户2”拥有“API项目2”，并将bucket/objects创建为“电子邮件帐户1”的谷歌云服务帐户

“电子邮件帐户2”拥有“API项目2”，并将bucket/objects创建为“电子邮件帐户2”的谷歌云服务帐户

很明显，案例一是可以的，因为所有的事情都在同一个账户下
之后，我一直被困在案例2中，HTTP响应代码为403。（禁止，拒绝访问）有一次，我将其解释为项目只能在其自己的帐户中写入数据。然而，我不认为这是合理的，然后，我尝试了步骤（3），即注册API项目2，然后使用OAuth2。使用“电子邮件帐户1”进行0身份验证，最终有效。

然后，我尝试了案例（4），它仍然与HTTP 403失败！即。项目所有者无法访问自己的谷歌云存储服务！

然而，使用GoogleOAuth2。0，我可以使用有问题的帐户（“电子邮件帐户2”）创建一个存储桶。

谁能给我一些提示，我的第二个帐户有什么问题？为什么API应用程序不能访问自己的Google云服务，即使OAuth2。0完成了吗？

Answer 1

一般来说，您可能会看到GoogleAPI返回403错误的原因有很多。以下是您应该检查的内容（所有Google API都有）：

对于与发出请求的客户机关联的项目（对于服务帐户，这意味着该服务帐户所属的项目）：

1. 正在访问的API已启用

对于包括访问属于项目的资源（例如大多数云平台API）的API，还将针对拥有该资源的项目（如果不同）验证上述内容。

因此，对于您的问题-应该允许属于项目a的服务帐户操作项目B中的资源（如云存储桶/对象），前提是服务帐户已添加到项目B的项目团队中，或已显式添加到Google云存储桶/对象ACL条目中。

在任何情况下-项目A都需要启用Google云存储服务（这可能需要启用计费）-但是使用该服务帐户操纵项目B拥有的资源将向项目B计费。

有关这方面的更多背景信息，请参见以下演示：https://developers.google.com/events/io/sessions/333234305

Answer 2

首先是对命名法的澄清。电子邮件帐户不拥有存储桶：项目拥有。您以用户身份登录，该用户可能有权为项目创建存储桶，但该存储桶的所有者是项目。对象是不同的。对象由帐户拥有。

这是因为账单是按每个项目进行的。将对象存储在bucket中时，账单将发送到拥有该对象所在bucket的项目。

用户可以是多个项目的成员，因此当您尝试创建bucket时，必须指定创建bucket的项目。项目只有在启用了计费后才能创建存储桶。

所以你可能遇到过这样的情况：

>

"电子邮件帐户1"拥有"API项目1"，该项目已启用计费，并且可以创建属于项目1的桶，并且可以在该桶中创建属于电子邮件帐户的对象。

“电子邮件帐户1”无法创建“API项目2”拥有的存储桶。

电子邮件帐户1可能有权限创建属于项目1的存储桶，但它可能没有权限创建项目2拥有的存储桶。这可能有几个原因。也许电子邮件帐户1根本不是项目2的所有者或编辑。或者，项目2没有创建存储桶的权限，因为项目2没有启用计费。

然后我们进入案例4：“电子邮件帐户2”拥有“项目2”，无法为“项目2”创建存储桶。

由于电子邮件帐户2肯定拥有项目2，因此答案很可能是项目2未启用计费。