授权失败主因是重定向URI不匹配、同意屏未配置或Workspace管理员策略限制；需核对Cloud Console中redirect_uri完全一致，将测试账号加入OAuth同意屏测试用户列表，并检查Admin Console中第三方应用访问权限设置。
谷歌空间（Google Workspace）中第三方应用授权失败，通常表现为点击“允许”后页面卡住、跳回登录页、提示“Error 400: invalid_request”或直接显示“Google 尚未验证此应用”。这类问题多发生在管理员未配置域级权限、用户被限制访问，或OAuth参数与控制台设置不一致时。
检查并修正OAuth重定向URI配置
第一步：登录 Google Cloud Console → 进入对应项目 → 左侧导航选择「API和服务」→「凭据」。
第二步：在「OAuth客户端ID」条目下，点击编辑图标 → 滚动到「授权重定向URI」区域 → 确保此处填写的地址与你应用代码中发起授权请求时传入的 redirect_uri 参数完全一致，包括协议（https必须）、域名（www与非www视为不同）、端口（如本地开发用 http://localhost:8080/callback）、路径及结尾斜杠。
第三步：若应用部署在多个环境（如开发/测试/生产），需为每个环境单独添加对应URI；遗漏任一环境URI都会导致该环境下授权立即报错“redirect_uri_mismatch”。
确认OAuth同意屏幕已正确配置并发布
方法一：进入同一项目 → 左侧导航选择「API和服务」→「OAuth同意屏幕」→ 检查「用户类型」是否为「外部」（适用于Workspace域外用户）或「内部」（仅限本组织成员）。若为外部类型，必须将所有测试用Google账号手动添加至「测试用户」列表，否则任何未列明账号授权时均会返回“访问遭拒”。
方法二：确认「应用名称」「应用Logo」「主页链接」「隐私政策链接」均已填写且可公开访问；空字段或无法加载的链接会导致同意页渲染失败，进而中断授权流。
方法三：若应用已上线面向全体用户，必须提交「OAuth验证请求」；未验证的应用在授权页会强制显示“未经验证的应用”，且部分Workspace管理员策略会直接拦截此类授权。
在 Linux 上通过 Chrome 挂载/VNC 自动发布小红书长笔记。Agent 撰写标题和正文后执行 xhs_publish.sh --publish --submit，触发小红书发布。
排查Workspace管理员端策略限制
登录 Google Admin Console（admin.google.com）→ 左上角切换至正确组织单位（OU）→ 导航至「安全」→「API参考」→「管理第三方应用访问权限」。
确认「阻止对不安全应用的访问」未启用；若启用，所有未通过Google验证或使用受限范围（如 sdm.service）的OAuth客户端将被静默拒绝。
检查当前OU下是否对特定OAuth客户端ID设置了「停用」状态，或限制了其可请求的权限范围（scopes）；一旦策略禁用某client_id，用户点击“允许”后不会跳转，而是直接返回错误页。
清除授权缓存并重试授权流程
打开新无痕窗口 → 访问 https://www.php.cn/link/00aa1503c1bbdb597c450f6b0d941fbd → 找到对应第三方应用名称 → 点击「移除访问权限」。
返回你的谷歌空间应用登录页，重新触发OAuth流程；这一步能绕过因旧令牌残留或权限冲突导致的静默失败。
若仍失败，尝试在URL中手动追加 &prompt=consent 参数强制弹出完整授权页，避免复用已有许可。
