Flask部署GCP App Engine时FireStore的ADC认证报错求助

错误原因 #

你遇到的问题本质是：当前使用的凭据仅包含访问令牌，缺少私钥，而Firestore客户端在处理会话类操作时需要私钥完成凭据签名。

AttributeError: you need a private key to sign credentials.the credentials you are currently using <class 'google.oauth2.credentials.Credentials'> just contains a token.

分环境解决方法 #

本地开发环境 #

不要使用用户类型的默认凭据（比如gcloud auth application-default login生成的文件），必须使用服务账号密钥文件：

1. 从Google Cloud控制台获取服务账号JSON密钥：
   • 进入IAM与管理员 -> 服务账号页面
   • 选择或创建一个有权限访问Firestore的服务账号
   • 切换到「密钥」标签，点击「添加密钥」->「创建新密钥」，选择JSON格式下载到本地
2. 代码中两种正确初始化方式：
   方式一：直接加载密钥文件

   from google.cloud import firestore
   from google.oauth2 import service_account
   from flask import Flask
   
   # 替换为你的服务账号密钥文件路径
   creds = service_account.Credentials.from_service_account_file(
       'your-service-account-key.json'
   )
   db = firestore.Client(credentials=creds)
   sessions = db.collection('sessions')
   
   app = Flask(__name__)
   

   方式二：通过环境变量指定密钥路径

   # 终端临时设置，或用python-dotenv加载.env文件持久化配置
   export GOOGLE_APPLICATION_CREDENTIALS="/path/to/your-service-account-key.json"
   

   代码中无需手动设置环境变量，直接初始化客户端：

   from google.cloud import firestore
   from flask import Flask
   
   app = Flask(__name__)
   db = firestore.Client()
   sessions = db.collection('sessions')
   

App Engine部署环境 #

在App Engine上无需手动配置凭据，直接利用平台默认服务账号即可：

1. 简化代码，移除所有手动凭据相关配置：

   from google.cloud import firestore
   from flask import Flask
   
   app = Flask(__name__)
   db = firestore.Client()
   sessions = db.collection('sessions')
   

2. 确保App Engine默认服务账号拥有Firestore权限：
   • 进入Google Cloud控制台IAM页面
   • 找到[你的项目ID]@appspot.gserviceaccount.com账号
   • 编辑权限，添加Cloud Datastore User或Firestore Editor角色

内容的提问来源于stack exchange，提问作者U13-Forward