使用Django Storage包上传图片至GCS时遭遇403权限拒绝问题

以下是针对该问题的具体排查与解决步骤：

• 检查虚拟机实例关联的服务账号权限
  本地环境依赖密钥文件认证，但GCP虚拟机默认使用实例绑定的服务账号进行云服务认证。确认该服务账号是否拥有GCS存储桶的写入权限：

  1. 进入GCP控制台的VM实例页面，找到目标实例，查看「服务账号」字段；
  2. 前往IAM页面，给该服务账号添加Storage Object Creator或Storage Admin角色。

• 验证生产环境密钥文件的加载有效性
  即使更新了密钥，也要确保Django能正确读取并使用：

  • 检查环境变量GOOGLE_APPLICATION_CREDENTIALS是否指向正确的密钥文件路径，且文件权限允许Django进程读取；
  • 可在项目中临时添加代码打印google.auth.default()的返回值，确认加载的服务账号与预期一致。

• 排查负载均衡的规则限制

  • 若负载均衡配置了WAF，检查是否有拦截multipart/form-data类型请求或限制请求大小的规则；
  • 确认负载均衡是否完整转发了所有请求头部，避免因头部缺失导致GCS认证失败。

• 确认GCS存储桶的权限无附加限制

  • 检查存储桶的IAM权限是否存在IP范围、时间等条件限制，若设置了仅允许本地IP访问，虚拟机IP不在范围内会被拒绝；
  • 确认桶权限是否继承到对象级别，部分场景下桶权限不会自动应用到新创建的对象。

• 对比本地与生产环境的Django Storage配置
  核对settings.py中GCS相关配置：

  • 确认GS_BUCKET_NAME是否正确，无拼写错误；
  • 检查GS_DEFAULT_ACL、GS_CREDENTIALS等参数是否与本地一致，比如GS_CREDENTIALS的文件路径是否在生产环境中有效：

    from google.oauth2 import service_account
    GS_CREDENTIALS = service_account.Credentials.from_service_account_file('/path/to/production-key.json')
    

• 查看GCP审计日志定位具体原因
  进入GCP控制台的Cloud Storage存储桶页面，查看访问日志，找到403请求的详细记录，日志会明确标注被拒绝的具体原因（如权限不足、IP限制等），这是最精准的排查方式。

内容的提问来源于stack exchange，提问作者Dalbeer Singh