部署生产服务器时调用GCP获取AccessToken超时问题求助

部署到生产服务器后，C#代码调用GCP受IAP保护的WebAPI时，在生成AccessToken环节出现挂起，最终抛出异常：

System.InvalidOperationException: The access token has expired and could not be refreshed.

开发/测试环境运行正常，且同服务器上的其他应用使用相同凭证和逻辑可正常生成Token。

生成Token的代码 #

private async Task<string> MakeRequest(string url, object model, HttpMethod httpMethod, bool? postModelAsStringContentInsteadOfJson = false, List<KeyValuePair<string, string>> headers = null, CancellationToken cancellationToken = default)
{
  OidcToken oidcToken = await GetOidcTokenAsync(_iapClientId, cancellationToken);
  string token = await oidcToken.GetAccessTokenAsync(cancellationToken); // 此代码行超时/报错
  // ... 后续使用Token调用HttpClient的代码...
}

private async Task<OidcToken> GetOidcTokenAsync(string iapClientId, CancellationToken cancellationToken)
{    
  // 获取应用默认凭证
  GoogleCredential credential = await GoogleCredential.GetApplicationDefaultAsync(cancellationToken);
  // 为Cloud IAP保护的客户端ID请求OIDC Token
  return await credential.GetOidcTokenAsync(OidcTokenOptions.FromTargetAudience(iapClientId), cancellationToken);
}

已验证内容 #

• 所有应用使用相同版本的Google.Apis.Auth.OAuth2（1.68.0，最新版）
• 所有应用使用相同凭证
• 部署在同一服务器
• Token生成逻辑完全一致
• 开发/测试环境使用不同凭证可正常执行

排查建议 #

1. 检查服务器网络出站权限 #

• 确认生产服务器能正常访问GCP OAuth2令牌端点https://oauth2.googleapis.com/token，企业防火墙可能拦截此类请求。可在服务器上用PowerShell测试连通性：

  Invoke-WebRequest -Uri https://oauth2.googleapis.com/token -Method HEAD
  

• 核对当前应用是否配置了正确的代理（同服务器其他应用可能已配置代理）。

2. 排查凭证权限与状态 #

• 登录GCP控制台，确认默认凭证对应的服务账号拥有Cloud IAP-secured Web App User角色，且目标IAP客户端ID的受众配置正确。
• 检查服务账号密钥是否过期，同时确认当前应用读取凭证的方式（环境变量、密钥文件、元数据服务器）与其他正常应用一致。

3. 启用详细日志调试 #

• 添加日志记录GetOidcTokenAsync和GetAccessTokenAsync的执行细节，包括凭证加载来源、请求端点、响应状态等。可启用Google.Apis的调试日志：

  using Google.Apis.Logging;
  // 初始化时设置日志级别
  GoogleCredential.SetLogger(new ConsoleLogger(LogLevel.Debug));
  

• 排查异步调用中是否有未捕获的隐藏异常。

4. 检查异步代码上下文 #

• 确认上层调用MakeRequest的代码未出现同步阻塞异步的情况（如使用.Result或.Wait()），此类操作易导致死锁，表现为“挂起”后超时。

5. 清理令牌缓存 #

• Google.Apis.Auth会自动缓存令牌，生产环境可能存在过期缓存且无法刷新。尝试重启应用，或手动清除默认缓存路径（Windows一般为%APPDATA%\Google\Auth）。

6. 直接测试服务账号密钥文件 #

• 暂时绕过默认凭证，直接指定服务账号密钥文件路径，验证是否能正常生成令牌，排除默认凭证加载问题：

  var credential = GoogleCredential.FromFile("path/to/service-account-key.json")
      .CreateScoped(new[] { "https://www.googleapis.com/auth/cloud-platform" });
  

内容的提问来源于stack exchange，提问作者Toby Fieldgroove