Node.js下依托ADC从GCS SDK获取密钥生成带前缀的签名URL

核心结论 #

无法直接从GCS Node.js SDK获取可用于Cloud CDN前缀签名的密钥，因为ADC（应用默认凭据）与Cloud CDN前缀签名依赖完全不同的认证机制：

• GCS SDK生成单文件签名URL时，依赖ADC提供的短期OAuth2凭证或服务账号身份，签名逻辑由SDK内部处理，不会暴露可复用的HMAC密钥材料。
• Cloud CDN的前缀签名必须使用长期HMAC签名密钥，这类密钥需要单独创建并存储，无法通过ADC自动获取——ADC仅提供临时身份凭证，不包含生成HMAC签名所需的持久化密钥。

替代方案（无需额外管理HMAC密钥） #

如果不想创建和维护单独的签名密钥，可通过后端代理的方式实现类似需求：

1. 前端向你的Node.js服务发起请求，指定需要访问的目录前缀。
2. 服务端通过ADC认证调用GCS API，列出该前缀下的所有目标文件。
3. 对每个文件单独调用GCS SDK生成签名URL，返回给前端使用。

这种方式全程使用ADC认证，无需管理额外密钥，但缺点是无法生成一个通用的前缀式URL，需要逐个处理文件请求。

补充说明 #

如果你的场景允许放宽权限控制，也可以直接通过IAM为目标身份（如用户的OAuth账号、服务账号）授予GCS存储桶对应前缀下对象的storage.objects.get权限，这样用户无需签名URL即可直接访问文件，同样无需管理HMAC密钥。

内容的提问来源于stack exchange，提问作者Gabe