为何使用服务账号访问Google API需额外获取令牌而非直接用JWT？

• 降低泄露风险：服务账号的JWT是用私钥签名生成的，一旦私钥泄露，这个JWT理论上可长期有效（除非手动吊销密钥）。而换出来的授权令牌有效期仅1小时，就算泄露，影响范围和时间都有限，特别适合CI/CD这类可能存在令牌流转的场景。
• 灵活控制权限：生成JWT时的scope是固定写死的，但换授权令牌时可以临时指定更小的权限范围，比如只给当前CI任务所需的最小读写权限，不用暴露服务账号的全量权限，符合安全领域的最小权限原则。
• 统一API认证规范：Google绝大多数API都是基于OAuth 2.0的Bearer Token认证设计的，直接用JWT不符合这个统一标准。使用授权令牌能让所有API的认证流程保持一致，无需为不同API编写两套认证逻辑。
• 减少私钥使用频次：生成JWT必须用到服务账号的私钥，CI/CD中如果每次调用API都生成JWT，私钥的使用次数越多，暴露风险就越高。换成先获取授权令牌的方式，私钥只需要使用一次，后续用短期令牌即可，能大幅降低私钥的暴露机会。

补充：少数Google API（比如Cloud IAM的部分接口）支持直接用JWT，但这属于特殊情况，大部分核心API仍要求走授权令牌流程，本质都是为了安全和规范。

内容的提问来源于stack exchange，提问作者xetra11