Google 使用 OAuth2 身份验证解决来自 JavaScript 客户端的 API 问题

Question

现在已经为此苦苦挣扎了好几个小时，文档似乎很糟糕。基本上，我尝试使用 Portable 获取对 OAuth2 身份验证用户联系人的读取权限通讯录 API 或完整的通讯录 API。 Google 最近开始允许 OAuth2。

我可以通过联系人 API 访问用户联系人，方法是首先让用户使用以下范围进行身份验证：“https://www.google.com/m8/feeds”。然后我可以使用 jQuery 检索他们的前 25 个联系人（显示的代码为 CoffeeScript），

$.ajax
  url: "https://www.google.com/m8/feeds/contacts/default/full"
  dataType: 'jsonp'
  data: { access_token: token, alt: 'json-in-script' }
  success: (data, status) ->
    console.log "The returned data", data

这样就可以了，并且我得到了 JSON 数据。然而，几乎令人难以置信的是，Google 提供的唯一联系人顺序（据我所知）是 '

这恰好是 Google Portable Contacts API 可以做到的事情 ， （耶！）。当然，我似乎无法成功请求工作。

首先，我让用户通过单击此链接（注意范围：“https://www-opensocial.googleusercontent.com/api/people”）使用便携式联系人 API 进行身份验证，

<a href="https://accounts.google.com/o/oauth2/authclient_id=457681297736.apps.googleusercontent.com&response_type=token&redirect_uri=http://localhost:3000/team&scope=https://www-opensocial.googleusercontent.com/api/people">Import Google Contacts</a>

效果很好，并且我获得了访问令牌过去了。

接下来，我尝试向便携式联系人 API 发送 ajax 请求，

$.ajax
  url: "https://www-opensocial.googleusercontent.com/api/people/@me/@all"
  dataType: 'jsonp'
  data: { access_token: token, alt: 'json-in-script' }
  success: (data, status) ->
    console.log "The returned data", data

但这会返回 403 错误

403 (The currently logged in user and/or the gadget requesting data, does not have access to people data.

你知道我做错了什么吗？

附录
我在 Google OAuth2 论坛中发现了此错误报告，其中建议我们需要设置一个使用便携式联系人 API 时的授权标头。所以我尝试了这样的操作：

$.ajax
  url: "https://www-opensocial.googleusercontent.com/api/people/@me/@all"
  dataType: 'jsonp'
  data: { access_token: token, alt: 'json-in-script' }
  beforeSend: (xhr) ->
    xhr.setRequestHeader "Authorization", "OAuth #{token}"
  data: { access_token: token }
  success: (data, status) ->
    console.log "The returned data", data

但这给我带来了同样的 403 错误：

403 (The currently logged in user and/or the gadget requesting data, does not have access to people data

Answer 1

问题是您显然无法在 JSONP 请求上设置请求标头。有关详细信息，请参阅此问题的答案。

据我所知，替代方案是：

1. 使用 Google Contacts API JS库。这只使用了 AuthSub，谷歌自己认为这是不好的。我宁愿不这样做。我与之交互的所有其他服务都使用 OAuth2。
2. 使用我链接到的 SO 问题中提到的新的 Level 2 Ajax 和 XDomainRequest 标准。然而，他们也会遇到自己的问题。整体听起来很混乱。它在旧版浏览器中不起作用，我必须进行一系列功能检测等。我什至不知道 API 是否支持这些功能。
3. 一切都在服务器上完成。这也不太理想。不太完美的用户体验。

谷歌不应该这么难。