本地用gcloud访问Firestore仅个人账号生效？公司账号权限排查

问题根源 #

你的Node.js代码使用的是应用默认凭证（ADC），而非gcloud init配置的CLI账号凭证。gcloud init仅针对gcloud命令行工具生效，而Node.js客户端库会按优先级自动查找凭证：

• 优先读取GOOGLE_APPLICATION_CREDENTIALS环境变量指向的密钥文件
• 其次读取gcloud auth application-default login生成的本地凭证
• 最后才会尝试其他环境的元数据服务

如果之前用个人Gmail账号执行过gcloud auth application-default login，代码会自动复用该凭证，导致即使gcloud CLI登录公司账号，仍用个人账号权限访问Firestore。

解决步骤 #

1. 清除旧的应用默认凭证

执行命令删除本地存储的旧凭证：

gcloud auth application-default revoke

此操作会删除~/.config/gcloud/application_default_credentials.json文件（Windows路径为%APPDATA%\gcloud\application_default_credentials.json）。

2. 用公司账号生成新的应用默认凭证

执行命令并按提示完成授权：

gcloud auth application-default login

在弹出的浏览器中选择你的公司Google账号，确保授权范围包含当前GCP项目的权限。

3. 验证凭证有效性

• 查看当前应用默认凭证的账号：

  gcloud auth application-default print-access-token | grep -oP '(?<=email=)[^&]+'
  

  输出应为你的公司账号邮箱。
• 也可直接查看凭证文件内容确认：

  cat ~/.config/gcloud/application_default_credentials.json
  

4. （可选）强制指定凭证路径（适合生产环境）

如果不想依赖自动查找逻辑，可直接使用服务账号密钥：

1. 在GCP控制台的IAM与管理 > 服务账号页面，创建或选择一个服务账号，授予Cloud Datastore User或Owner角色。
2. 为该服务账号创建JSON格式的密钥文件并下载到本地。
3. 运行代码前设置环境变量：

   export GOOGLE_APPLICATION_CREDENTIALS="/绝对路径/服务账号密钥.json"
   

   或在代码中显式指定：

   const { Firestore } = require('@google-cloud/firestore');
   const firestore = new Firestore({
     keyFilename: '/绝对路径/服务账号密钥.json',
     projectId: '你的项目ID'
   });
   

内容的提问来源于stack exchange，提问作者jwtrees