Java使用服务账号调用GCP PubSub时的权限拒绝问题排查

确认未授权的用户身份 #

• 开启GCP认证模块的DEBUG日志，在配置文件中添加：

  logging:
    level:
      com.google.auth: DEBUG
      com.google.cloud.pubsub: DEBUG
  

  日志中会打印请求使用的身份信息，包括服务账号邮箱或OAuth2用户ID。
• 在代码中主动打印当前生效的Credentials：

  // 打印topics1封装库使用的身份
  Credentials topics1Credentials = yourWrappedPubSubClient.getCredentials();
  if (topics1Credentials instanceof ServiceAccountCredentials) {
      System.out.println("Topics1当前使用的服务账号：" + ((ServiceAccountCredentials) topics1Credentials).getClientEmail());
  }
  // 打印topics2使用的身份
  Credentials topics2Credentials = pubSubTemplate.getPublisherClient().getSettings().getCredentialsProvider().getCredentials();
  if (topics2Credentials instanceof ServiceAccountCredentials) {
      System.out.println("Topics2当前使用的服务账号：" + ((ServiceAccountCredentials) topics2Credentials).getClientEmail());
  }
  

• 检查条件属性启用后，是否覆盖了全局GCP认证配置：比如spring.cloud.gcp.credentials.location、spring.cloud.gcp.credentials.project-id等属性是否被topics2的配置覆盖，导致topics1使用了错误的服务账号。

排查access_token失效或冲突问题 #

• 验证token的有效性与自动刷新逻辑：

  AccessToken token = credentials.refreshAccessToken();
  System.out.println("Token过期时间：" + new Date(token.getExpirationTime()));
  

  Google官方Credentials默认会自动刷新过期token（有效期约1小时），如果自定义了CredentialsProvider，需确认是否实现了自动刷新逻辑。
• 检查多Credentials实例冲突：由于topics1用封装库、topics2直接用spring-cloud-gcp-pubsub，启用条件属性后，可能存在上下文优先级覆盖，导致topics1的客户端被替换为topics2的Credentials（而该账号无topics1权限）。可通过打印两个模块的Credentials实例ID，确认是否为同一对象。
• 排查环境变量干扰：启用条件属性后，是否触发了GOOGLE_APPLICATION_CREDENTIALS环境变量的变更，指向了无topics1权限的服务账号密钥文件。

额外提示 #

审计日志未捕获Publish请求，说明请求可能在本地认证阶段就被拦截，未发送到GCP PubSub服务。优先排查本地Credentials的正确性，而非服务端权限配置。

内容的提问来源于stack exchange，提问作者SRJ