Kotlin Spring Boot应用访问GCP API：service_account key.json配置最佳实践

一、本地开发阶段的key.json配置 #

• 环境变量指定路径（推荐）
  直接设置系统环境变量 GOOGLE_APPLICATION_CREDENTIALS=/path/to/your/service-account-key.json，Spring Boot会自动识别该变量加载GCP凭证，无需额外修改配置文件。
  或者在Spring Boot配置文件（application.yml）中显式指定：

  spring:
    cloud:
      gcp:
        credentials:
          location: file:/path/to/your/service-account-key.json
        project-id: 你的GCP项目ID
  

• 嵌入Base64编码凭证（备用）
  将key.json的内容做Base64编码后，写入配置文件：

  spring:
    cloud:
      gcp:
        credentials:
          encoded-key: 你的Base64编码凭证内容
        project-id: 你的GCP项目ID
  

  这种方式适合不想在本地管理文件的场景，但注意不要把编码后的内容提交到版本控制。

二、Docker容器化部署的安全实践 #

1. 禁止将key.json打包进镜像 #

绝对不要把key.json文件通过COPY指令加入Docker镜像，这会导致凭证泄露的严重风险。推荐以下两种安全传递方式：

• 环境变量传递Base64凭证
  先对key.json内容做Base64编码（避免换行问题）：

  base64 -w 0 service-account-key.json > encoded-key.txt
  

  启动容器时通过环境变量传入：

  docker run -e SPRING_CLOUD_GCP_CREDENTIALS_ENCODED_KEY=$(cat encoded-key.txt) -e SPRING_CLOUD_GCP_PROJECT_ID=你的GCP项目ID 你的镜像名称
  

• Docker Secrets挂载（集群场景）
  若使用Docker Swarm或Kubernetes，可将key.json存入Docker Secret：

  docker secret create gcp-service-account-key service-account-key.json
  

  启动服务时挂载Secret到容器内，并通过环境变量指定路径：

  docker service create --name 你的服务名 --secret gcp-service-account-key -e GOOGLE_APPLICATION_CREDENTIALS=/run/secrets/gcp-service-account-key 你的镜像名称
  

2. 标准Dockerfile示例 #

FROM openjdk:17-jdk-slim
WORKDIR /app
# 仅打包编译好的应用Jar，不包含任何敏感文件
COPY build/libs/your-app.jar app.jar
EXPOSE 8080
ENTRYPOINT ["java", "-jar", "app.jar"]

三、通用安全最佳实践 #

• 最小权限原则：为ServiceAccount仅分配访问目标GCP API所需的最小权限，避免过度授权。
• 定期轮换凭证：定期生成新的key.json并替换旧凭证，降低泄露后的影响范围。
• 版本控制防护：在.gitignore中添加service-account-key.json，防止凭证被误提交到代码仓库。
• 生产环境优先用Workload Identity：若应用部署在GKE上，优先使用Workload Identity，无需管理key.json，通过K8s服务账号直接关联GCP ServiceAccount，安全性更高。

内容的提问来源于stack exchange，提问作者Ariful Haque