Go应用使用GCP服务账号JSON密钥时提示无效认证凭据及令牌过期

针对你遇到的「无效认证凭据」「令牌过期」错误，按以下步骤排查：

1. 确认服务账号密钥路径正确性 #

• 验证相对路径是否匹配运行目录：你在项目根目录执行go run时，json/path-to-json.json是否存在？可以用命令ls json/path-to-json.json确认，不存在就修正路径。
• 临时换成绝对路径测试，比如/home/user/project/json/path-to-json.json，排除相对路径的干扰。
• 重新下载服务账号密钥：在GCP控制台IAM>服务账号>对应账号>密钥页面，删除旧密钥后新建并下载，替换本地文件，避免文件损坏或篡改。

2. 检查Viper配置读取逻辑 #

• 你的代码中启用了viper.AutomaticEnv()，这会让Viper优先读取系统环境变量，而非.env文件内容。如果系统环境变量中已设置GOOGLE_APPLICATION_CREDENTIALS，实际读取的是环境变量里的路径，可能和你预期的不符。
• 在Load函数中添加日志打印，确认读取到的路径：

  log.Printf("Loaded credentials path: %s", c.GoogleApplicationCredentials)
  

• 若不需要环境变量覆盖配置文件，可移除viper.AutomaticEnv()，或者调整Viper的配置优先级。

3. 验证服务账号权限与密钥有效性 #

• 确认服务账号拥有roles/logging.logWriter权限：进入GCP IAM页面，找到对应服务账号，检查是否已添加该角色，没有则补充。
• 检查密钥过期时间：在GCP控制台的服务账号密钥列表中，查看该密钥的过期日期，确认未过期。
• 用gcloud命令测试密钥：

  gcloud auth activate-service-account --key-file=json/path-to-json.json
  gcloud logging write test-log "test message"
  

  如果命令执行失败，说明密钥本身存在问题，需重新创建。

4. 更新Google Cloud Go客户端版本 #

旧版本的cloud.google.com/go/logging可能存在认证相关bug，执行以下命令更新到最新版本：

go get -u cloud.google.com/go/logging

内容的提问来源于stack exchange，提问作者neil_ruaro