Google Admin SDK:您无权访问此接口
Google Admin SDK:您无权访问此接口
提问于 2015-06-01 17:12:13
自从上周谷歌登录身份验证被禁用以来，我正在尝试让oAuth 2.0与服务帐户一起工作。我们希望为内部web应用程序上的用户提供在Office之外进行设置的机会。
我下载了最新的Google APIs Client Library for PHP。在Google Developer Console中，我为我的应用程序创建了一个新项目，并创建了一个Service account凭据。我还在开发者控制台中启用了API服务：Admin SDK。
我已授予帐户用户ID对正确作用域的访问权限(我认为)：
当我使用service-account.php示例并更改细节时，我会收到一个带有访问令牌的JSON，但是当我向用户发出CURL请求(与前面一样)以获取电子邮件设置时，就会出现错误"You are not authorized to access this API."。
我的代码：
<?php
include_once "templates/base.php";
require_once realpath(dirname(__FILE__) . '/../src/Google/autoload.php');
$client_id = '124331845-DELETEDPART-hbh89pbgl20citf6ko.apps.googleusercontent.com'; //Client ID
$service_account_name = '124331845-DELETEDPART-89pbgl20citf6ko@developer.gserviceaccount.com'; //Email Address
$key_file_location = 'globaltext-4ce09b20cb73.p12'; //key.p12
$client = new Google_Client();
if (isset($_SESSION['service_token'])) {
$client->setAccessToken($_SESSION['service_token']);
}
$key = file_get_contents($key_file_location);
$cred = new Google_Auth_AssertionCredentials(
$service_account_name,
array('https://apps-apis.google.com/a/feeds/emailsettings/2.0/'),
$key
);
$client->setAssertionCredentials($cred);
if ($client->getAuth()->isAccessTokenExpired()) {
$client->getAuth()->refreshTokenWithAssertion($cred);
}
$aOutput = json_decode($client->getAccessToken());
$strEmailAdresSplit = explode('@', "FIRSTNAME.LASTNAME@DOMAIN.EXTENSION");
$strDomein = $strEmailAdresSplit[1];
$strAlias = $strEmailAdresSplit[0];
$resConnectionJobs = curl_init();
$aHeader = array();
$aHeader[] = 'Authorization: Bearer '.$aOutput->access_token;
$aHeader[] = 'Content-Type: application/atom+xml';
curl_setopt($resConnectionJobs, CURLOPT_URL, "https://apps-apis.google.com/a/feeds/emailsettings/2.0/DOMAIN.EXTENSION/FIRSTNAME.LASTNAME/vacation");
curl_setopt($resConnectionJobs, CURLOPT_SSL_VERIFYPEER, FALSE);
curl_setopt($resConnectionJobs, CURLOPT_HTTPHEADER, $aHeader);
curl_setopt($resConnectionJobs, CURLOPT_RETURNTRANSFER, true);
curl_setopt($resConnectionJobs, CURLOPT_HEADER, false);
$oCurlData = curl_exec($resConnectionJobs);
curl_close($resConnectionJobs);
echo $oCurlData;
?>回答 2
Stack Overflow用户
发布于 2015-06-01 18:27:55
您确定您的凭据是正确的吗？
请尝试以下过程以确保您具有正确的凭据。
创建您的API密钥
转到并执行以下步骤：
- 选择您的项目
- 选择菜单项“API&auth”
- 选择菜单项“注册的应用程序”
- 注册类型的应用程序web application"
- Choose根据您创建的应用程序的类型，选择以下选项之一。服务器端语言应使用此选项:用于服务器应用程序的
- 密钥(具有IP locking)
获取访问令牌和刷新令牌的
创建一个包含以下代码的文件：
<?php
if (isset($_GET['code'])) {
// try to get an access token
$code = $_GET['code'];
$url = 'https://accounts.google.com/o/oauth2/token';
$params = array(
"code" => $code,
"client_id" => YOUR_CLIENT_ID,
"client_secret" => YOUR_CLIENT_SECRET,
"redirect_uri" => 'http://' . $_SERVER["HTTP_HOST"] . $_SERVER["PHP_SELF"],
"grant_type" => "authorization_code"
);
$ch = curl_init();
curl_setopt($ch, constant("CURLOPT_" . 'URL'), $url);
curl_setopt($ch, constant("CURLOPT_" . 'POST'), true);
curl_setopt($ch, constant("CURLOPT_" . 'POSTFIELDS'), $params);
$output = curl_exec($ch);
$info = curl_getinfo($ch);
curl_close($ch);
if ($info['http_code'] === 200) {
header('Content-Type: ' . $info['content_type']);
return $output;
} else {
return 'An error happened';
}
} else {
$url = "https://accounts.google.com/o/oauth2/auth";
$params = array(
"response_type" => "code",
"client_id" => YOUR_CLIENT_ID,
"redirect_uri" => 'http://' . $_SERVER["HTTP_HOST"] . $_SERVER["PHP_SELF"],
"scope" => "https://www.googleapis.com/auth/plus.me"
);
$request_to = $url . '?' . http_build_query($params);
header("Location: " . $request_to);
}现在，将YOUR_CLIENT_ID和YOUR_CLIENT_SECRET替换为您的客户端ID和客户端密码。
确保您的作用域是正确的。例如，如果您想要访问分析，它应该是https://www.googleapis.com/auth/analytics。
如果您运行该文件，您应该会看到一个OAuth2批准屏幕。
如果现在按Accept，应该会得到如下所示的结果：
{
"access_token" : YOUR_ACCESS_TOKEN,
"token_type" : "Bearer",
"expires_in" : 3600,
"refresh_token" : YOUR_REFRESH_TOKEN
}结果可能包含其他字段，具体取决于您申请的作用域。
在后台与谷歌系统连接
一旦你得到上面的工作，你的应用程序需要实现以下工作流程：
1)检查您的输入是否包含名为code的GET参数。如果"code“存在，则获取新的访问令牌并重复此步骤(刷新页面)。如果"code”不存在，请转到步骤2。
2)检查您的服务是否存储了凭据。如果存在凭据，请检查您的访问令牌是否已过期或即将过期。然后转到步骤3。如果凭据不存在，请转到您的服务的身份验证路径以获取身份验证码，然后返回步骤1(确保Google重定向到您当前的URL)。
3)如果需要刷新，请刷新页面并返回步骤1。如果不需要刷新，则已准备好在第一个位置实际执行您想要做的操作。
不过，谷歌的PHP库会关注oAuth2是否会为您流动。如果你正在使用他们的库，3步过程中的每一步都是由库来处理的，你应该能够直接使用Google的服务做任何你想做的事情。我自己在中使用了这个策略。
但是，您可以只编写自定义库并直接与服务连接。下面是我几个月前写的一个项目的一些开发代码。虽然它不是开箱即用的(因为它是一个大型应用程序的控制器)，但它应该可以帮助您理解Google的库在幕后处理的流程。
namespace Application;
class Controller_API_Google_Youtube extends Controller_API {
public function read() {
$scope = "https://www.googleapis.com/auth/youtube";
$this->doOauth($scope);
}
function doOauth($scope) {
$oauth2Credentials = JSON_File::load(__DIR__ . DIRECTORY_SEPARATOR . 'Config.json');
$paths = array(
'token' => 'https://accounts.google.com/o/oauth2/token',
'auth' => "https://accounts.google.com/o/oauth2/auth"
);
$refreshtime = 300;
if (isset($_GET['code'])) {
// Get access code
$query = $_GET;
unset($query['code']);
if (count($query) > 0) {
$query = '?' . http_build_query($query);
} else {
$query = '';
}
$client = \PowerTools\HTTP_Client::factory(
array(
'maps' => array(
'url' => $paths['token'],
'returntransfer' => 1,
'post' => true,
'postfields' => array(
'code' => $_GET['code'],
"client_id" => $oauth2Credentials['client_id'],
"client_secret" => $oauth2Credentials['client_secret'],
"redirect_uri" => HTTP_PROTOCOL . URL_PATH . $query,
"grant_type" => "authorization_code"
)
)
)
)->execute();
$responses = $client->getResponses();
$response = array_pop($responses);
$info = $response['maps']->getInfo();
$content = $response['maps']->getContent();
if ($info['http_code'] === 200) {
$output = JSON::decode($content);
$oauth2Credentials[$scope] = array();
$oauth2Credentials[$scope]['expires'] = time() + $output['expires_in'];
$oauth2Credentials[$scope]['access_token'] = $output['access_token'];
$oauth2Credentials[$scope]['refresh_token'] = $output['refresh_token'];
file_put_contents(__DIR__ . DIRECTORY_SEPARATOR . 'Config.json', JSON::encode($oauth2Credentials));
header("Location: " . HTTP_PROTOCOL . URL_PATH . $query);
} else {
echo "Something went wrong";
}
} elseif (!isset($oauth2Credentials[$scope])) {
// Get auth code
header("Location: " . $paths['auth'] . '?' . http_build_query(
array(
"response_type" => "code",
"client_id" => $oauth2Credentials['client_id'],
"redirect_uri" => HTTP_PROTOCOL . DOMAIN_PATH,
"scope" => $scope
)
));
} elseif ($oauth2Credentials[$scope]['expires'] - $refreshtime < time()) {
// Refresh access code
$client = \PowerTools\HTTP_Client::factory(
array(
'maps' => array(
'url' => $paths['token'],
'returntransfer' => 1,
'post' => true,
'postfields' => array(
"client_id" => $oauth2Credentials['client_id'],
"client_secret" => $oauth2Credentials['client_secret'],
"refresh_token" => $oauth2Credentials[$scope]['refresh_token'],
"grant_type" => "refresh_token"
)
)
)
)->execute();
$responses = $client->getResponses();
$response = array_pop($responses);
$info = $response['maps']->getInfo();
$content = $response['maps']->getContent();
if ($info['http_code'] === 200) {
$output = JSON::decode($response['maps']->getContent());
$oauth2Credentials[$scope]['expires'] = time() + $output['expires_in'];
$oauth2Credentials[$scope]['access_token'] = $output['access_token'];
file_put_contents(__DIR__ . DIRECTORY_SEPARATOR . 'Config.json', JSON::encode($oauth2Credentials));
$this->read();
} else {
$this->output = array("error" => "Something went wrong");
}
} else {
$this->doSomethinguseful($oauth2Credentials, $scope);
}
return $this;
}
function doSomethinguseful($oauth2Credentials, $scope) {
// https://developers.google.com/youtube/v3/sample_requests?hl=nl
$client = \PowerTools\HTTP_Client::factory(
array(
'maps' => array(
'useragent' => 'Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.8.1.13) Gecko/20080311 Firefox/2.0.0.13',
'url' => 'https://www.googleapis.com/youtube/v3/channels?part=contentDetails&mine=true',
'returntransfer' => true,
'httpheader' => array(
'Authorization: Bearer ' . $oauth2Credentials[$scope]['access_token'],
'Accept-Encoding: gzip, deflate'
)
)
)
)->execute();
$responses = $client->getResponses();
$response = array_pop($responses);
$content = $response['maps']->getContent();
$this->output = JSON::decode(gzdecode($content));
}
}Stack Overflow用户
发布于 2015-07-28 03:56:31
看起来你可能也遇到了我遇到的问题。
对Google_Auth_AssertionCredentials的调用实际上需要更多的参数，而不是发送给服务帐户。(至少在我的案例中是这样的。)
您需要传递足够的参数来包含sub (针对哪个用户采取操作)。
如果不这样做，我的访问总是会被拒绝。这显然并不明显，因为php库中甚至添加了一个函数loadServiceAccountJson，该函数用于设置服务帐户客户端连接，但由于也没有设置sub而中断。
请参阅此处的工作代码：Google php client library loadServiceAccountJson broken - fix enclosed
页面原文内容由Stack Overflow提供。腾讯云小微IT领域专用引擎提供翻译支持
原文链接：
https://stackoverflow.com/questions/30569681
复制相关文章
相似问题
腾讯云开发者
