如何在Google Cloud Function中生成OAuth2令牌调用Google Retail API

核心思路 #

Cloud Functions中不需要手动处理OAuth2跳转，直接用服务账户凭据即可自动生成访问令牌，完全适配后台服务场景。下面是具体操作步骤：

1. 配置服务账户权限 #

方式一：使用Cloud Functions默认服务账户（推荐） #

Cloud Functions运行时默认使用[你的项目ID]@appspot.gserviceaccount.com这个服务账户，只需给它分配Retail API的权限：

• 打开Google Cloud控制台的IAM与管理员 > IAM页面
• 找到上述默认服务账户，点击“编辑”按钮
• 添加角色：搜索并选择Retail Search Admin（或更细粒度的权限，比如roles/retail.searchViewer，根据业务需求调整）
• 保存变更

方式二：创建专用服务账户 #

如果需要单独的服务账户隔离权限：

• 进入IAM与管理员 > 服务账户，点击“创建服务账户”
• 填写名称和描述后，直接为其分配Retail API相关角色（同上）
• 切换到该服务账户的“密钥”标签，点击“添加密钥 > 创建新密钥”，选择JSON格式，下载密钥文件（妥善保管，不要泄露）

2. 在Cloud Functions代码中实现认证 #

Python示例（使用默认凭据） #

利用Google官方auth库自动获取和刷新令牌，无需手动管理密钥：

import google.auth
from google.auth.transport.requests import Request
import requests

def handle_search_request(request):
    # 获取默认凭据，指定所需scope
    credentials, _ = google.auth.default(scopes=['https://www.googleapis.com/auth/cloud-platform'])
    
    # 刷新过期的凭据
    if not credentials.valid:
        credentials.refresh(Request())
    
    # 构建Retail API搜索请求
    retail_api_url = "https://retail.googleapis.com/v2/projects/[你的项目ID]/locations/global/catalogs/[你的目录ID]/branches/default/search"
    headers = {
        'Authorization': f'Bearer {credentials.token}',
        'Content-Type': 'application/json'
    }
    
    # 从用户请求中获取搜索关键词，构造请求体
    search_query = request.args.get('query', '')
    payload = {"query": search_query}
    
    # 调用Retail API并处理结果
    api_response = requests.post(retail_api_url, json=payload, headers=headers)
    # 根据业务需求调整返回结果后返回给用户
    return api_response.json()

Python示例（使用专用服务账户密钥） #

适合本地测试或需要指定服务账户的场景：

from google.oauth2.service_account import Credentials
from google.auth.transport.requests import Request
import requests

def handle_search_request(request):
    # 加载服务账户密钥文件（部署时需将密钥文件放入函数包中）
    credentials = Credentials.from_service_account_file(
        'your-service-account-key.json',
        scopes=['https://www.googleapis.com/auth/cloud-platform']
    )
    
    if not credentials.valid:
        credentials.refresh(Request())
    
    # 后续请求逻辑与上面一致
    retail_api_url = "https://retail.googleapis.com/v2/projects/[你的项目ID]/locations/global/catalogs/[你的目录ID]/branches/default/search"
    headers = {
        'Authorization': f'Bearer {credentials.token}',
        'Content-Type': 'application/json'
    }
    
    search_query = request.args.get('query', '')
    payload = {"query": search_query}
    
    api_response = requests.post(retail_api_url, json=payload, headers=headers)
    return api_response.json()

3. 验证与排错 #

• 权限验证：可以用gcloud命令测试服务账户权限，比如激活服务账户后调用API：

  gcloud auth activate-service-account --key-file=your-service-account-key.json
  curl -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application/json" -d '{"query":"test"}' [Retail API URL]
  

• Cloud Functions日志：如果调用失败，查看函数日志，若出现PERMISSION_DENIED错误，检查服务账户的角色是否正确配置

内容的提问来源于stack exchange，提问作者RayOvO