从BigQuery获取数据时遭遇403权限禁止错误求助

1. 确保认证环境变量生效时机 #

你的代码设置GOOGLE_APPLICATION_CREDENTIALS的顺序是对的，但如果Python解释器缓存了之前导入的google.cloud.bigquery模块，环境变量修改可能不生效。可以：

• 重启Python解释器，保证脚本从头执行时先设置环境变量再导入客户端库
• 或者直接从密钥文件加载凭证，绕过环境变量：

from google.cloud import bigquery
from google.oauth2 import service_account

credentials = service_account.Credentials.from_service_account_file(
    "C:/dear masood/alibaba-ga4-7aef9376a694.json"
)
client = bigquery.Client(credentials=credentials, project=credentials.project_id)

2. 验证服务账号权限与项目匹配 #

• 确认服务账号的BigQuery Data Editor权限是授予在数据集所在的项目，而非其他项目
• 检查数据集权限列表：确保服务账号邮箱（格式如xxx@<项目ID>.iam.gserviceaccount.com）已添加为数据集成员，且角色正确
• 如果数据集在另一个项目，除了数据集权限，还需给服务账号授予目标项目的BigQuery Job User权限（执行列表、查询操作需要提交Job）

3. 显式指定数据集所在项目ID #

默认bigquery.Client()会从密钥文件或环境变量读取项目ID，如果数据集不在这个项目里，必须显式指定：

# 替换为你的数据集所在项目ID
client = bigquery.Client(project="target-project-id")
# 结合凭证的写法
client = bigquery.Client(
    credentials=credentials,
    project="target-project-id"
)

4. 清除本地认证缓存干扰 #

如果你的机器通过gcloud auth login登录过Google账号，会优先使用该认证而非服务账号密钥：

• 运行命令gcloud auth revoke --all清除本地缓存后重新执行脚本
• 或者采用步骤1的显式凭证加载方式强制使用服务账号

5. 检查密钥文件有效性 #

• 确认JSON密钥文件路径正确：Windows路径支持正斜杠/或双反斜杠\\，确保文件存在且可读
• 打开密钥文件，检查client_email和project_id字段格式正确，无语法错误

内容的提问来源于stack exchange，提问作者Masood Dehnamak