如何在浏览器JavaScript中无需OAuth认证，仅用API Key上传文件至GCP Cloud Storage

首先明确：直接通过浏览器仅用API Key完成GCP Cloud Storage文件上传是不可行的。API Key仅用于标识API请求的来源，仅能调用公开可读的资源接口，无法提供写入操作所需的身份验证权限——GCP Cloud Storage的写入操作必须经过身份校验，而API Key不具备代表用户或服务身份进行权限验证的能力。

如果不想使用OAuth，推荐以下两种实用方案：

1. 使用预签名URL（Presigned URL） #

这是最常用的替代方式，流程如下：

• 由你的后端服务（需拥有GCP Cloud Storage的写入权限）生成一个预签名URL，该URL包含临时上传权限和过期时间。
• 将预签名URL返回给浏览器前端，前端直接通过HTTP PUT请求将文件上传到该URL即可，无需额外认证信息。
• 示例生成预签名URL的Python代码：

from google.cloud import storage
import datetime

def generate_upload_signed_url(bucket_name, blob_name):
    storage_client = storage.Client()
    bucket = storage_client.bucket(bucket_name)
    blob = bucket.blob(blob_name)

    url = blob.generate_signed_url(
        version="v4",
        expiration=datetime.timedelta(minutes=15),
        method="PUT",
        content_type="application/octet-stream",
    )
    return url

2. 服务端中转上传 #

如果无法生成预签名URL，可让浏览器先将文件上传到你的后端服务，再由后端服务使用自身认证凭据（如服务账号密钥）将文件转发到GCP Cloud Storage。这种方式下前端无需处理GCP认证逻辑，所有权限校验均在服务端完成。

额外补充：若场景适配Firebase，Firebase Storage基于GCP Cloud Storage构建，提供了更简化的前端上传方式，但本质仍依赖Firebase认证体系（若配置公开上传规则会带来安全风险，不推荐）。

内容的提问来源于stack exchange，提问作者Hrishikesh