跨GCP项目GAE BlobStore无法获取BlobInfo致删除失败求助

核心问题原因 #

BlobStore的BlobKey与所属项目强绑定，项目B直接使用项目A生成的BlobKey调用blobstore.BlobInfo.get()时，API默认会访问项目B自身的BlobStore资源，因此无法找到项目A的Blob信息，返回None。单纯通过IAM授予编辑权限不足以覆盖跨项目BlobStore的资源访问限制。

具体解决建议 #

1. 改用GCS客户端库（推荐方案） #

App Engine BlobStore底层实际对接Google Cloud Storage（GCS），在Python 3环境中建议直接使用google-cloud-storage客户端库，明确指定访问项目A的资源：

from google.cloud import storage
from google.cloud import datastore
import logging

def delete_cross_project_blob(project_a_id, bucket_name, blob_key_str):
    # BlobKey对应的GCS对象名即为BlobKey的字符串形式
    blob_name = blob_key_str
    # 初始化客户端时指定项目A的ID
    client = storage.Client(project=project_a_id)
    bucket = client.get_bucket(bucket_name)
    blob = bucket.blob(blob_name)
    
    if blob.exists():
        # 删除GCS对象
        blob.delete()
        # 同时删除项目A Datastore中的BlobInfo实体
        datastore_client = datastore.Client(project=project_a_id)
        blob_info_key = datastore_client.key('BlobInfo', blob_key_str)
        datastore_client.delete(blob_info_key)
        logging.debug("文件及BlobInfo删除成功")
    else:
        logging.error("未找到对应GCS对象")

注意：需确保项目B的服务账号拥有项目A的roles/storage.objectAdmin（用于GCS操作）和roles/datastore.user（用于删除BlobInfo实体）权限。

2. 验证IAM权限的精准性 #

检查项目A的IAM设置，确认项目B的服务账号已被授予以下细粒度权限：

• storage.objects.delete：删除GCS对象（BlobStore底层存储）
• datastore.entities.delete：删除Datastore中的BlobInfo实体
  避免过度授权，直接授予对应权限比宽泛的编辑权限更可靠。

3. 测试你的Workaround方案 #

将项目B的Python 3代码部署为项目A的一个版本，此方案确实能解决跨项目权限问题：

• 同一项目内的BlobStore资源完全互通，BlobKey可以直接被不同版本的代码访问和操作
• 作为过渡方案能快速解决当前问题，但需注意同一项目内多版本部署的资源隔离和管理问题

内容的提问来源于stack exchange，提问作者Michael