如何在 Go 中正确调用 Google+ Domain API 获取用户资料-Golang-PHP中文网

如何在 Go 中正确调用 Google+ Domain API 获取用户资料

本文详解 go 程序调用 google+ domain api 时返回 403 forbidden 的根本原因及解决方案，重点说明服务账号授权、api 范围（scope）配置、用户委托（domain-wide delegation）与请求头认证方式的正确实践。

本文详解 go 程序调用 google+ domain api 时返回 403 forbidden 的根本原因及解决方案，重点说明服务账号授权、api 范围（scope）配置、用户委托（domain-wide delegation）与请求头认证方式的正确实践。

Google+ Platform 已于 2019 年 3 月正式关闭，Google+ Domain API 同步废弃。但该问题具有典型教学价值：它集中体现了企业级 Google Workspace（原 G Suite）服务账号集成中常见的权限配置误区。以下内容基于历史兼容逻辑展开，适用于理解 OAuth 2.0 服务账号委托机制，并可迁移至当前有效的 Google Admin SDK、Directory API 或 People API。

? 核心问题定位：Scope 与 API 不匹配

原始代码中使用了错误的授权范围（scope）：

conf, err := google.JWTConfigFromJSON(data, "https://www.googleapis.com/auth/plus.me")

plus.me 是面向个人 Google+ 账户（已停用）的 scope，不适用于 Google+ Domain API。Domain API 必须使用专属域范围：

https://www.googleapis.com/auth/plus.domains.readers
# 或更常用（且权限更精准）：
https://www.googleapis.com/auth/admin.directory.user.readonly

⚠️ 注意：plus.domains.readers 仅允许读取公开可见的 Domain 内容；若需获取完整用户资料（如邮箱、职位），必须启用 Admin SDK Directory API 并授予 admin.directory.user.readonly 权限。

使用Go语言搭建家庭相册系统-相关课件
使用Go语言搭建家庭相册系统-相关课件

下载

✅ 正确实现步骤（Go）

1. 配置服务账号并完成域委托（Domain-Wide Delegation）

在 Google Cloud Console 创建服务账号；
下载 JSON 密钥文件（如 pragna2.json）；
在 Google Admin 控制台（admin.google.com）→ 安全 → API 控制台访问权限，添加服务账号客户端 ID，并勾选上述正确 scope（如 https://www.googleapis.com/auth/admin.directory.user.readonly）；
关键：委托时必须指定一个具有足够权限的域内用户邮箱（如 admin@spaceandhow.com），该用户将作为“代表”执行请求。

2. 使用 google.JWTConfigFromJSON 并显式设置 Subject

data, err := ioutil.ReadFile("pragna2.json")
if err != nil {
    log.Fatal("Failed to read service account key:", err)
}

// 使用 Domain API 所需的 scope（非 plus.me！）
conf, err := google.JWTConfigFromJSON(data,
    "https://www.googleapis.com/auth/admin.directory.user.readonly",
)
if err != nil {
    log.Fatal("Invalid JWT config:", err)
}

// ? 必须设置 Subject —— 即被委托的域用户邮箱
conf.Subject = "admin@spaceandhow.com" // 替换为实际管理员邮箱

client := conf.Client(context.Background()) // 使用 context.Background() 替代已弃用的 oauth2.NoContext

3. 调用 Admin SDK Directory API（推荐替代方案）

Google+ Domain API 已不可用，应迁移到 Admin SDK Directory API 获取用户资料：

// 获取当前委托用户的完整资料（需 admin.directory.user.readonly 权限）
url := "https://admin.googleapis.com/admin/directory/v1/users/me"

resp, err := client.Get(url)
if err != nil {
    log.Fatal("API request failed:", err)
}
defer resp.Body.Close()

body, _ := ioutil.ReadAll(resp.Body)
fmt.Printf("Status: %s\nBody: %s\n", resp.Status, string(body))

4. 若坚持使用旧式 Bearer Token 手动构造（不推荐，仅作原理说明）

答案中给出的手动 Bearer 方式本质是绕过 google-api-go-client 的封装，直接构造 HTTP 请求。其前提是：你已通过服务账号流程成功获取了有效 access_token。完整流程如下：

// 1. 构造 JWTConfig（含 Subject 和正确 scope）
conf, _ := google.JWTConfigFromJSON(data, "https://www.googleapis.com/auth/admin.directory.user.readonly")
conf.Subject = "admin@spaceandhow.com"

// 2. 获取 token（自动刷新）
token, err := conf.TokenSource(context.Background()).Token()
if err != nil {
    log.Fatal("Failed to get token:", err)
}

// 3. 手动发起请求
req, _ := http.NewRequest("GET", "https://admin.googleapis.com/admin/directory/v1/users/me", nil)
req.Header.Set("Authorization", "Bearer "+token.AccessToken)

client := &http.Client{}
resp, _ := client.Do(req)
// ... 处理响应

? 关键注意事项总结

❌ plus.me、plus.login、plus.domains.* 等所有 Google+ 相关 scope 和 API 均已失效，不可用于新项目；
✅ 当前标准方案：使用 Admin SDK Directory API（用户/群组管理）或 People API（个人联系人）；
✅ 服务账号必须完成 Domain-Wide Delegation，且 conf.Subject 必须设为被委托的域用户邮箱；
✅ Scope 必须与目标 API 严格匹配（例如 admin.directory.user.readonly 对应 Directory API）；
✅ 使用 context.Background() 替代已废弃的 oauth2.NoContext；
✅ 生产环境务必处理 err 并使用 log 或结构化日志库，避免 fmt.Printf 遗留调试代码。