使用PHP和Google Admin SDK列出用户所属群组：解决授权问题指南

<?php

require 'vendor/autoload.php'; // 根据您的项目路径调整

// 创建新的Google客户端实例
$client = new Google_Client();

// 配置OAuth客户端凭据
// 这些信息通常在Google Cloud Console的OAuth同意屏幕或凭据页面获取
$client->setClientId('YOUR_CLIENT_ID.apps.googleusercontent.com'); // 替换为您的客户端ID
$client->setClientSecret('YOUR_CLIENT_SECRET'); // 替换为您的客户端密钥
$client->setRedirectUri('YOUR_REDIRECT_URL'); // 替换为您的重定向URL
$client->setApplicationName("Your Application Name"); // 替换为您的应用名称

// 添加获取用户邮箱和个人资料信息的Scope
$client->addScope("https://www.googleapis.com/auth/userinfo.email");
$client->addScope("https://www.googleapis.com/auth/userinfo.profile");
// 仅为Admin SDK操作添加的Scope，这里先不添加，后面服务账号认证时再添加
// $client->addScope("https://www.googleapis.com/auth/admin.directory.group.readonly");

$userEmail = '';

// 处理OAuth回调
if (isset($_GET['code'])) {
    $token = $client->fetchAccessTokenWithAuthCode($_GET['code']);

    if (!isset($token["error"])) {
        $client->setAccessToken($token['access_token']);

        // 获取用户个人资料信息
        $google_oauth = new Google_Service_Oauth2($client);
        $google_account_info = $google_oauth->userinfo->get();

        $userEmail = $google_account_info->email;
        echo "当前登录用户邮箱: " . $userEmail . "<br>";

    } else {
        echo "OAuth认证失败: " . $token["error_description"] . "<br>";
    }
} else {
    // 如果没有认证码，则重定向到Google认证页面
    $authUrl = $client->createAuthUrl();
    echo "<a href='" . $authUrl . "'>点击此处登录Google</a>";
    exit;
}

// ... 接下来是服务账号授权和群组查询
?>

<?php
// ... (接上一步骤代码，确保 $userEmail 已被获取)

if (!empty($userEmail)) {
    // 重新配置客户端，使用服务账号进行认证
    // 注意：这里我们重用了 $client 实例，但实际上可以创建新的实例以避免混淆
    // 为了教程的简洁性，我们在此重用并覆盖了认证配置。
    // 在生产环境中，可能需要更清晰的客户端管理。

    // 设置服务账号的JSON密钥文件路径
    $client->setAuthConfig('path/to/your/service-account-key.json'); // 替换为您的JSON密钥文件路径

    // 设置要模拟的管理员邮箱。此邮箱必须是Google Workspace域内的管理员账号，
    // 并且具有读取群组的权限。这是DWD的关键一步。
    $client->setSubject('admin-user@yourdomain.com'); // 替换为您的域管理员邮箱

    // 添加Admin SDK Directory API的只读Scope
    // 注意：这个Scope必须在Google Workspace管理员控制台的DWD中授权给服务账号
    $client->addScope("https://www.googleapis.com/auth/admin.directory.group.readonly");

    try {
        // 实例化Google Directory服务
        $service = new Google_Service_Directory($client);

        // 配置查询参数：指定域和要查询的用户邮箱
        $optParams = array(
            'domain' => 'yourdomain.com', // 替换为您的Google Workspace域名
            'userKey' => $userEmail      // 查询此用户所属的群组
        );

        // 调用listGroups方法获取群组列表
        $googleGroups = $service->groups->listGroups($optParams);
        $groups = $googleGroups->getGroups();

        if (!empty($groups)) {
            echo "<h2>用户 " . $userEmail . " 所属群组列表:</h2>";
            echo "<ul>";
            foreach ($groups as $group) {
                echo "<li>" . $group->getName() . " (" . $group->getEmail() . ")</li>";
            }
            echo "</ul>";
        } else {
            echo "用户 " . $userEmail . " 未找到所属群组或无权限访问。<br>";
        }

    } catch (Google_Service_Exception $e) {
        echo "获取群组时发生错误: " . $e->getMessage() . "<br>";
        // 详细错误信息可能在 $e->getErrors() 中
    } catch (Exception $e) {
        echo "未知错误: " . $e->getMessage() . "<br>";
    }
} else {
    echo "无法获取用户邮箱，请先完成OAuth认证。<br>";
}
?>

<?php

require 'vendor/autoload.php';

// --- 配置部分 ---
$clientId = 'YOUR_CLIENT_ID.apps.googleusercontent.com'; // 替换为您的OAuth客户端ID
$clientSecret = 'YOUR_CLIENT_SECRET'; // 替换为您的OAuth客户端密钥
$redirectUri = 'YOUR_REDIRECT_URL'; // 替换为您的重定向URL (必须与Google Cloud Console中配置的一致)
$appName = "My Google Group Lister"; // 替换为您的应用名称
$serviceAccountKeyPath = 'path/to/your/service-account-key.json'; // 替换为您的服务账号JSON密钥文件路径
$adminImpersonationEmail = 'admin-user@yourdomain.com'; // 替换为具有群组读取权限的域管理员邮箱
$googleWorkspaceDomain = 'yourdomain.com'; // 替换为您的Google Workspace域名
// --- 配置部分结束 ---

// 创建Google客户端实例
$client = new Google_Client();
$client->setApplicationName($appName);

$userEmail = '';

// --- 步骤一：用户认证与信息获取 ---
// 用于获取当前登录用户的邮箱，以便后续查询其群组
$client->setClientId($clientId);
$client->setClientSecret($clientSecret);
$client->setRedirectUri($redirectUri);
$client->addScope("https://www.googleapis.com/auth/userinfo.email");
$client->addScope("https://www.googleapis.com/auth/userinfo.profile");

if (isset($_GET['code'])) {
    $token = $client->fetchAccessTokenWithAuthCode($_GET['code']);

    if (!isset($token["error"])) {
        $client->setAccessToken($token['access_access_token']);

        $google_oauth = new Google_Service_Oauth2($client);
        $google_account_info = $google_oauth->userinfo->get();
        $userEmail = $google_account_info->email;

        echo "当前登录用户邮箱: " . htmlspecialchars($userEmail) . "<br>";

        // --- 步骤二：服务账号授权与群组查询 ---
        // 重新配置客户端，使用服务账号进行认证，以执行Admin SDK操作
        $client->setAuthConfig($serviceAccountKeyPath);
        $client->setSubject($adminImpersonationEmail); // 模拟域管理员
        // 确保服务账号已通过DWD授权此Scope
        $client->addScope("https://www.googleapis.com/auth/admin.directory.group.readonly");

        try {
            $service = new Google_Service_Directory($client);

            $optParams = array(
                'domain' => $googleWorkspaceDomain,
                'userKey' => $userEmail
            );

            $googleGroups = $service->groups->listGroups($optParams);
            $groups = $googleGroups->getGroups();

            if (!empty($groups)) {
                echo "<h2>用户 " . htmlspecialchars($userEmail) . " 所属群组列表:</h2>";
                echo "<ul>";
                foreach ($groups as $group) {
                    echo "<li>" . htmlspecialchars($group->getName()) . " (" . htmlspecialchars($group->getEmail()) . ")</li>";
                }
                echo "</ul>";
            } else {
                echo "用户 " . htmlspecialchars($userEmail) . " 未找到所属群组或无权限访问。<br>";
            }

        } catch (Google_Service_Exception $e) {
            echo "获取群组时发生API错误: " . htmlspecialchars($e->getMessage()) . "<br>";
            // 更多错误信息: print_r($e->getErrors());
        } catch (Exception $e) {
            echo "发生未知错误: " . htmlspecialchars($e->getMessage()) . "<br>";
        }

    } else {
        echo "OAuth认证失败: " . htmlspecialchars($token["error_description"]) . "<br>";
    }
} else {
    // 如果没有认证码，则生成认证URL并重定向
    $authUrl = $client->createAuthUrl();
    echo "<p><a href='" . htmlspecialchars($authUrl) . "'>点击此处登录Google并授权</a></p>";
}
?>