借助IAP保护GAE/Cloud Run应用并排除静态内容的方案

方案一：全局开启IAP+IAM路径条件 #

• 可行性：完全可行。给应用全局开启IAP后，在IAM权限规则里添加request.path.startsWith("/admin")的条件，这样只有访问/admin/*路径的请求会触发IAP身份验证，/css/、/js/这类静态资源请求因为不匹配条件，会直接被IAP放行到后端，不需要用户登录。
• 性能与网络影响：会有轻微的额外转发开销——所有请求（包括静态资源）都会先经过IAP代理层。但这个开销通常可以忽略，除非你的静态资源请求量达到每秒数万次的量级。如果静态资源已经配置了CDN缓存，缓存命中的请求不会经过IAP，影响会更小。另外，IAP的全球节点分布能把转发延迟控制在很低的水平。
• 注意事项：务必确保IAM条件配置精准，避免误把静态资源路径纳入认证范围；同时给静态资源设置合理的缓存响应头，减少重复请求。

方案二：拆分服务是否必要？ #

• 不是必须的。拆分服务的优势在于静态资源完全绕开IAP，没有任何转发开销，还能单独配置更适配的缓存、CDN策略。但拆分也会增加运维成本——你需要维护两个服务的部署、配置、域名映射等环节。
• 决策建议：如果静态资源占比不高，或者你更看重运维的简洁性，方案一足够满足需求；如果静态资源请求量极大，或者你需要极致优化静态资源的访问性能，再考虑拆分服务。

总结 #

优先选择方案一，配置简单、运维成本低，性能影响在可接受范围内；只有当静态资源规模大到IAP转发开销不可忽略时，再考虑拆分服务。

内容的提问来源于stack exchange，提问作者user3686724