如何安全管理Firebase与Google Cloud JSON服务账号文件，避免GitHub泄露并部署到生产环境？

核心原则：绝对别把敏感凭证提交到代码仓库 #

方案1：用环境变量替代JSON文件 #

• 针对Laravel项目：
  • 把JSON里的所有键值对拆解到项目的.env文件里，示例：

    GOOGLE_PROJECT_ID=你的项目ID
    GOOGLE_SERVICE_ACCOUNT_EMAIL=你的服务账号邮箱
    GOOGLE_PRIVATE_KEY="-----BEGIN PRIVATE KEY-----\nabcdef...\n-----END PRIVATE KEY-----"
    

  • 在Laravel配置文件（比如config/services.php）里读取这些变量，手动构建凭证数组来初始化Google客户端：

    $ttsClient = new Google\Cloud\TextToSpeech\V1\TextToSpeechClient([
        'credentials' => [
            'type' => 'service_account',
            'project_id' => env('GOOGLE_PROJECT_ID'),
            'client_email' => env('GOOGLE_SERVICE_ACCOUNT_EMAIL'),
            'private_key' => str_replace('\n', "\n", env('GOOGLE_PRIVATE_KEY')),
        ]
    ]);
    

  • Firebase集成也一样，在config/firebase.php里用环境变量配置，别直接引用本地JSON文件。
• 生产服务器上：
  • 要么通过服务器面板的环境变量功能设置这些值，要么在服务器上创建.env文件（记得给文件设600权限，只有root和项目运行用户能读）。

方案2：服务器本地存JSON，彻底排除在仓库外 #

• 在项目根目录建个credentials文件夹，把JSON文件放进去，然后在.gitignore里加一行credentials/（或者具体文件名，比如google-service-account.json），确保不会被提交到GitHub。
• 生产服务器上：
  • 用SFTP、SCP或者服务器面板把JSON文件传到这个credentials目录，给文件设600权限。
  • 在Laravel的.env里加GOOGLE_APPLICATION_CREDENTIALS=/var/www/your-project/credentials/google-service-account.json，Google SDK会自动读取这个路径的凭证。

方案3：用云服务商的秘密管理工具（企业级首选） #

• 如果用的是GCP、AWS这类云服务器，直接用它们的秘密管理服务：
  • GCP用Secret Manager，把JSON内容存成秘密，给服务器实例配置IAM权限让它能读取这个秘密，代码里调用Secret Manager API拿凭证就行。
  • AWS用Secrets Manager或者Parameter Store，逻辑一样，通过IAM角色授权服务器访问。
• 这种方式完全不用在服务器上存明文凭证，安全性最高。

必做的后续操作 #

• 赶紧去Google Console撤销之前暴露的服务账号，重新生成新的JSON文件，防止被滥用。
• 检查.gitignore，确保.env、所有凭证文件都被正确排除，别再犯同样的错。
• 服务器上的凭证文件或.env一定要设chmod 600权限，避免其他用户读取。

内容的提问来源于stack exchange，提问作者Vusal Novruzov