使用ADC登录GCS失败：匿名调用者无storage.buckets.get权限

针对你遇到的Anonymous caller does not have storage.buckets.get access错误，以下是几个排查和解决方向：

1. 验证默认服务账号的权限配置 #

• 确认App Engine默认服务账号（格式为[你的项目ID]@appspot.gserviceaccount.com）确实被添加到存储桶的IAM权限列表中，且角色（如Storage Object Administrator、Owner）已正确应用。注意IAM权限变更可能存在3-5分钟的生效延迟，变更后请等待一段时间再测试。
• 检查是否启用Bucket Policy Only：如果存储桶开启了该设置，项目级别的IAM权限不会生效，必须确保服务账号直接在存储桶的IAM中配置了对应权限。

2. 排查依赖冲突 #

旧版App Engine Storage库（如appengine-api-storage）与新版google-cloud-storage库可能存在冲突，导致凭据加载逻辑异常。请在构建文件（pom.xml或build.gradle）中移除所有旧版存储相关依赖，仅保留新版依赖：

<!-- Maven示例 -->
<dependency>
  <groupId>com.google.cloud</groupId>
  <artifactId>google-cloud-storage</artifactId>
  <version>最新稳定版</version>
</dependency>

3. 显式指定项目ID初始化Storage #

有时候ADC无法自动识别项目ID，导致调用时使用匿名身份。尝试显式指定项目ID初始化Storage客户端：

import com.google.cloud.storage.Storage;
import com.google.cloud.storage.StorageOptions;

public class StorageClient {
    public static Storage getStorage() {
        return StorageOptions.newBuilder()
            .setProjectId("你的项目ID")
            .build()
            .getService();
    }
}

4. 检查环境变量配置 #

确保App Engine环境中没有错误设置GOOGLE_APPLICATION_CREDENTIALS环境变量。如果该变量被设置为不存在的凭据文件路径，会导致ADC无法加载默认服务账号凭据，进而触发匿名调用。

5. 检查App Engine部署配置 #

• 对于App Engine标准环境，确认app.yaml中没有错误配置service_account_email字段，该字段若设置错误会导致应用使用非预期的服务账号。
• 对于灵活环境，确保部署配置中正确启用了默认服务账号的权限。

内容的提问来源于stack exchange，提问作者Javier Delgado