允许公开未认证访问的GCP Cloud Function硬编码密码与令牌安全问询

• 代码存储环节：手动创建的Cloud Function，代码会存在GCP内部加密存储系统里，外部攻击者没法直接访问这部分代码——只要你没把代码导出后外传、也没错误配置权限开放给外部，外部拿不到硬编码的机密。
• 运行时环节：函数运行时，机密会加载到内存，GCP的运行环境是隔离的，外部无法直接读取内存数据。但要注意别把机密输出到日志里（比如调试时的print、log语句），如果日志权限配置错了（比如设为公开），机密可能通过日志泄露。
• 权限配置风险：如果给Cloud Function的IAM权限开得太松，比如给了外部账号不必要的权限，对方可能能查看函数代码。但只要你严格管控IAM权限，只给内部团队必要的访问权，外部就没法通过这个途径拿到机密。
• 人为操作风险：如果后续你把代码导出到不安全的地方、或者本地副本被恶意软件窃取，机密才可能外流，但这是人为失误，和GCP本身的环境无关。

总的来说，只要你做到不随意输出机密到日志、严格管控IAM权限、不外传代码，硬编码的机密不会被外部攻击者获取，能满足你当前只防外部风险的需求。当然从长期安全最佳实践来看，有空还是建议迁到Secret Manager，但就当前的外部风险防控来说，是足够安全的。

内容的提问来源于stack exchange，提问作者Marcin Kulik