本文详解 go 程序调用 google+ domain api 时返回 403 forbidden 的根本原因及解决方案，重点说明服务账号授权、api 范围（scope）配置、用户委托（domain-wide delegation）与请求头认证方式的正确实践。
本文详解 go 程序调用 google+ domain api 时返回 403 forbidden 的根本原因及解决方案，重点说明服务账号授权、api 范围（scope）配置、用户委托（domain-wide delegation）与请求头认证方式的正确实践。
Google+ Platform 已于 2019 年 3 月正式关闭，
Google+ Domain API 同步废弃
。但该问题具有典型教学价值：它集中体现了企业级 Google Workspace（原 G Suite）服务账号集成中常见的权限配置误区。以下内容基于历史兼容逻辑展开，适用于理解 OAuth 2.0 服务账号委托机制，并可迁移至当前有效的 Google Admin SDK、Directory API 或 People API。
? 核心问题定位：Scope 与 API 不匹配
原始代码中使用了错误的授权范围（scope）：
plus.me 是面向个人 Google+ 账户（已停用）的 scope，
不适用于 Google+ Domain API
。Domain API 必须使用专属域范围：
⚠️ 注意：plus.domains.readers 仅允许读取公开可见的 Domain 内容；若需获取完整用户资料（如邮箱、职位），必须启用
Admin SDK Directory API
并授予 admin.directory.user.readonly 权限。
✅ 正确实现步骤（Go）
1. 配置服务账号并完成域委托（Domain-Wide Delegation）
在
Google Cloud Console
创建服务账号；
下载 JSON 密钥文件（如 pragna2.json）；
在 Google Admin 控制台（admin.google.com）→
安全 → API 控制台访问权限
，添加服务账号客户端 ID，并勾选上述正确 scope（如 https://www.googleapis.com/auth/admin.directory.user.readonly）；
关键
：委托时必须指定一个具有足够权限的
域内用户邮箱
（如 admin@spaceandhow.com），该用户将作为“代表”执行请求。
2. 使用 google.JWTConfigFromJSON 并显式设置 Subject
3. 调用 Admin SDK Directory API（推荐替代方案）
Google+ Domain API 已不可用，应迁移到
Admin SDK Directory API
获取用户资料：
4. 若坚持使用旧式 Bearer Token 手动构造（不推荐，仅作原理说明）
答案中给出的手动 Bearer 方式本质是绕过 google-api-go-client 的封装，直接构造 HTTP 请求。其前提是：你
已通过服务账号流程成功获取了有效 access_token
。完整流程如下：
? 关键注意事项总结
❌ plus.me、plus.login、plus.domains.* 等所有 Google+ 相关 scope 和 API 均已失效，
不可用于新项目
；
✅ 当前标准方案：使用
Admin SDK Directory API
（用户/群组管理）或
People API
（个人联系人）；
✅ 服务账号必须完成
Domain-Wide Delegation
，且 conf.Subject 必须设为被委托的域用户邮箱；
✅ Scope 必须与目标 API 严格匹配（例如 admin.directory.user.readonly 对应 Directory API）；
✅ 使用 context.Background() 替代已废弃的 oauth2.NoContext；
✅ 生产环境务必处理 err 并使用 log 或结构化日志库，避免 fmt.Printf 遗留调试代码。
? 提示：Google 提供了
API 客户端库生成器
和
API Explorer
工具，建议在编码前先在 Explorer 中验证请求是否成功，再移植到 Go。
通过以上修正，即可彻底解决 403 Forbidden 问题，并构建符合现代 Google Workspace 最佳实践的身份集成方案。
conf, err := google.JWTConfigFromJSON(data, "https://www.googleapis.com/auth/plus.me")https://www.googleapis.com/auth/plus.domains.readers
# 或更常用（且权限更精准）：
https://www.googleapis.com/auth/admin.directory.user.readonlydata, err := ioutil.ReadFile("pragna2.json")
if err != nil {
log.Fatal("Failed to read service account key:", err)
}
// 使用 Domain API 所需的 scope（非 plus.me！）
conf, err := google.JWTConfigFromJSON(data,
"https://www.googleapis.com/auth/admin.directory.user.readonly",
)
if err != nil {
log.Fatal("Invalid JWT config:", err)
}
// ? 必须设置 Subject —— 即被委托的域用户邮箱
conf.Subject = "admin@spaceandhow.com" // 替换为实际管理员邮箱
client := conf.Client(context.Background()) // 使用 context.Background() 替代已弃用的 oauth2.NoContext// 获取当前委托用户的完整资料（需 admin.directory.user.readonly 权限）
url := "https://admin.googleapis.com/admin/directory/v1/users/me"
resp, err := client.Get(url)
if err != nil {
log.Fatal("API request failed:", err)
}
defer resp.Body.Close()
body, _ := ioutil.ReadAll(resp.Body)
fmt.Printf("Status: %s\nBody: %s\n", resp.Status, string(body))// 1. 构造 JWTConfig（含 Subject 和正确 scope）
conf, _ := google.JWTConfigFromJSON(data, "https://www.googleapis.com/auth/admin.directory.user.readonly")
conf.Subject = "admin@spaceandhow.com"
// 2. 获取 token（自动刷新）
token, err := conf.TokenSource(context.Background()).Token()
if err != nil {
log.Fatal("Failed to get token:", err)
}
// 3. 手动发起请求
req, _ := http.NewRequest("GET", "https://admin.googleapis.com/admin/directory/v1/users/me", nil)
req.Header.Set("Authorization", "Bearer "+token.AccessToken)
client := &http.Client{}
resp, _ := client.Do(req)
// ... 处理响应