使用Spring Cloud创建GCP Cloud SQL临时证书时遇401 Unauthorized错误

1. 验证Cloud SQL Admin API与服务账号权限 #

• 先确认GCP项目中Cloud SQL Admin API已启用：进入GCP控制台的API库，搜索Cloud SQL Admin API，检查状态是否为已启用（这是新手常遗漏的步骤，API未启用会直接返回401）
• 核对服务账号角色绑定：generateEphemeralCert接口要求服务账号拥有Cloud SQL Admin角色，确认该角色已正确绑定到对应服务账号，且未选错项目
• 用gcloud命令快速验证权限：

  # 激活服务账号
  gcloud auth activate-service-account --key-file=credential.json
  # 尝试查询实例信息，验证权限
  gcloud sql instances describe <你的实例名>
  

  若能正常返回实例数据，说明服务账号权限本身没问题；若报错，直接排查GCP端的角色配置。

2. 修正凭证文件配置 #

• 检查凭证文件路径：如果credential.json放在src/main/resources目录下，Spring配置应使用classpath:credential.json而非file:credential.json——file:指向的是文件系统路径，classpath:才会读取资源目录下的文件
• 确认凭证文件有效性：检查下载的JSON密钥是否对应目标服务账号，且未被GCP控制台删除
• 尝试绕过Spring配置，直接用环境变量指定凭证：

  # Linux/macOS
  export GOOGLE_APPLICATION_CREDENTIALS=/本地路径/credential.json
  # Windows
  set GOOGLE_APPLICATION_CREDENTIALS=C:\本地路径\credential.json
  

  启动应用看是否仍报错，排除Spring配置解析问题。

3. 调整Spring配置项 #

• 核对instance-connection-name格式：必须是项目ID:区域:实例名，比如my-project:us-central1:my-sql-instance，不能写错
• 简化scopes配置：DEFAULT_SCOPES已包含调用generateEphemeralCert所需的权限，额外添加scopes可能导致冲突，建议移除自定义scopes配置
• 确保配置层级正确（以YAML为例）：

  spring:
    datasource:
      driver-class-name: org.postgresql.Driver
      username: username
      password: password
    cloud:
      gcp:
        sql:
          database-name: database-name
          instance-connection-name: 项目ID:区域:实例名
        credentials:
          location: classpath:credential.json
  

4. 排查本地网络与API调用问题 #

• 检查本地是否有代理拦截请求，代理可能会修改或移除Authorization请求头，导致401
• 用curl直接测试API接口，定位问题是否在Spring依赖：

  # 获取服务账号的访问token
  token=$(gcloud auth application-default print-access-token)
  # 调用generateEphemeralCert接口
  curl -X POST \
    -H "Authorization: Bearer $token" \
    -H "Content-Type: application/json" \
    https://sqladmin.googleapis.com/sql/v1beta4/projects/<项目ID>/instances/<实例名>:generateEphemeralCert \
    -d '{"public_key": "ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQD..."}'
  

  若此调用返回401，说明问题出在GCP端的权限或API配置；若返回正常，再排查Spring依赖的配置问题。

5. 检查依赖版本冲突 #

• 确保spring-cloud-gcp-starter-sql-postgresql和spring-cloud-gcp-starter的版本一致（均为4.8.2），避免版本不一致导致的凭证解析异常
• 检查项目中是否引入了其他GCP相关依赖（如单独的google-cloud-sql），这类依赖可能与Spring Cloud GCP的依赖产生冲突，建议统一使用Spring Cloud GCP的starter依赖

内容的提问来源于stack exchange，提问作者at9pm