Next.js应用使用Google Cloud Storage读取文件遇403权限问题求助

你的写入功能正常，说明服务账号的桶权限配置没问题，但读取403的核心原因是：私有桶内的对象默认仅对所有者（上传用的服务账号）开放权限，前端浏览器直接访问时没有携带服务账号凭证，因此被拒绝。下面是具体的解决方向：

1. 上传时配置对象ACL（快速方案） #

在上传文件时，给对象添加读权限，允许认证用户或特定用户访问：

修改你的上传代码，在bucket.upload的options中加入acl配置：

const options = {
  destination: `products/${userId}/${file.name}`,
  // 允许所有通过Google认证的用户读取
  acl: 'authenticated-read',
};

如果要限制到当前登录的用户，可指定用户邮箱：

const options = {
  destination: `products/${userId}/${file.name}`,
  acl: [
    {
      entity: `user:${session.user.email}`, // 替换为当前登录用户的邮箱
      role: 'READER'
    }
  ],
};

2. 使用签名URL（推荐的安全方案） #

对于私有桶，更安全的做法是通过服务端生成临时签名URL，前端用这个URL访问图片（URL有过期时间，避免权限泄露）：

新增一个Next.js API路由用于生成签名URL：

// pages/api/get-image-url.ts
import { Storage } from "@google-cloud/storage";
import { getServerSession } from "next-auth/next";
import { authOptions } from "./auth/[...nextauth]";

export default async function handler(req, res) {
  const session = await getServerSession(req, res, authOptions);
  if (!session) return res.status(401).json({ error: "未授权" });

  const storage = new Storage({
    projectId: process.env.GCS_PROJECT_IT,
    credentials: {
      client_email: process.env.GCS_CLIENT_EMAIL,
      private_key: process.env.GCS_PRIVATE_KEY
    }
  });
  const bucket = storage.bucket(process.env.GCS_BUCKET_NAME);
  const filePath = req.query.path; // 传入存储的文件路径，如 products/xxx/xxx.png

  const options = {
    version: 'v4',
    action: 'read',
    expires: Date.now() + 15 * 60 * 1000, // 15分钟后过期
  };

  try {
    const [url] = await bucket.file(filePath).getSignedUrl(options);
    res.status(200).json({ url });
  } catch (err) {
    res.status(500).json({ error: err.message });
  }
}

前端调用该接口获取临时URL后，再加载图片即可。

3. 检查桶的IAM权限细节 #

确认服务账号不仅拥有桶的storage.objects.create（写入）权限，还拥有storage.objects.get（读取）权限。另外，检查桶的IAM政策是否覆盖了对象的ACL配置，避免权限冲突。

内容的提问来源于stack exchange，提问作者Doolan