在GCP外部的Python环境中配置Firestore凭证的疑问

1. 通过环境变量加载凭证（无需文件） #

你可以直接把serviceAccount.json的JSON内容存入环境变量，再在Python中解析使用：

• 先在Linux终端设置环境变量（将JSON内容压缩为单行）：

  export FIREBASE_CREDENTIALS='{"type":"service_account","project_id":"your-project-id",...}'
  

• Python代码中读取并加载凭证：

  import os
  import json
  from firebase_admin import credentials, initialize_app
  
  # 读取环境变量中的JSON字符串并转为字典
  cred_dict = json.loads(os.environ.get("FIREBASE_CREDENTIALS"))
  cred = credentials.Certificate(cred_dict)
  initialize_app(cred)
  

补充：如果只是不想手动写文件路径，也可以用官方的GOOGLE_APPLICATION_CREDENTIALS环境变量直接指向凭证文件路径，此时Python代码可简化为initialize_app()，Firebase会自动加载该路径下的凭证，但这种方式仍依赖文件。

2. 使用文件时的相对路径写法 #

相对路径的基准是你运行Python脚本的终端目录，而非脚本文件本身的位置，很容易出错。更稳妥的做法是基于脚本自身位置生成绝对路径：

import os
from firebase_admin import credentials, initialize_app

# 获取当前脚本所在的绝对目录
script_dir = os.path.dirname(os.path.abspath(__file__))
# 拼接凭证文件的绝对路径
cred_file_path = os.path.join(script_dir, "serviceAccount.json")
cred = credentials.Certificate(cred_file_path)
initialize_app(cred)

这种写法无论你在哪个目录运行脚本，都能正确找到凭证文件。

3. Linux主机上的凭证文件存储位置 #

绝对不要把凭证文件放在根目录，既不安全也不符合系统规范，推荐以下存储位置：

• 个人开发环境：用户目录下的隐藏配置文件夹，比如~/.config/firebase/serviceAccount.json，设置文件权限为600（仅所有者可读）：

  chmod 600 ~/.config/firebase/serviceAccount.json
  

• 生产服务器：系统级配置目录，比如/etc/firebase/serviceAccount.json，同样设置权限为600，确保只有运行应用的用户能访问。
  注意：无论哪种场景，都要把凭证文件加入.gitignore，绝对不能提交到代码仓库。

内容的提问来源于stack exchange，提问作者kpg