Google服务账号私钥在Cloud Run生产环境无法生效问题求助

问题根源 #

本地.env文件里带引号的多行私钥会被自动解析为包含换行符的字符串，但Cloud Run的环境变量输入框不支持直接识别多行字符串的换行——你复制粘贴的多行私钥在Cloud Run中会被合并成无换行的单行，或者转义格式不对，导致密钥验证失败。

解决方法 #

方法1：修改Cloud Run环境变量格式

把PRIVATE_KEY的内容改成单行，用\n替代实际的换行，同时去掉首尾的引号：

-----BEGIN PRIVATE KEY-----\n########################\n-----END PRIVATE KEY-----

直接把这个值填入Cloud Run的PRIVATE_KEY环境变量中即可。

方法2：代码中转义换行符（无需修改环境变量）

如果不想调整环境变量的格式，在读取PRIVATE_KEY时手动替换转义字符：

const storage = new Storage({
  projectId: this.config.get('PROJECT_ID'),
  credentials: {
    type: 'service_account',
    private_key: this.config.get('PRIVATE_KEY').replace(/\\n/g, '\n'), // 替换转义换行
    client_email: this.config.get('CLIENT_EMAIL'),
    client_id: this.config.get('STORAGE_CLIENT_ID'),
  },
});

最佳实践（更安全） #

其实在Cloud Run中完全不需要手动配置服务账号密钥：

1. 给Cloud Run默认使用的服务账号（格式为[项目编号]-compute@developer.gserviceaccount.com）赋予Cloud Storage的对应权限（比如Storage Object Admin）
2. 代码简化为：

const storage = new Storage({ projectId: this.config.get('PROJECT_ID') });

Google Cloud SDK会自动从环境中获取服务账号凭证，既安全又省去了密钥管理的麻烦。

内容的提问来源于stack exchange，提问作者Permlap