如何安全访问服务账号凭证JSON文件？Django云部署GCS安全指南

1. 直接通过环境变量注入凭证内容（无需保存JSON文件） #

不要将服务账号JSON文件保存在项目或服务器中，而是把整个JSON的内容作为环境变量注入应用。这样既避免了文件存储的风险，又能让应用正常读取凭证。

在Django的settings.py中可以这样配置：

import os
import json
from google.oauth2 import service_account

# 从环境变量读取凭证JSON字符串
gcs_credential_json = os.getenv("GOOGLE_CLOUD_CREDENTIALS")
if gcs_credential_json:
    # 将字符串转为字典加载凭证
    credentials = service_account.Credentials.from_service_account_info(
        json.loads(gcs_credential_json)
    )
else:
    # 本地开发可使用本地文件（生产环境不要用）
    credentials = service_account.Credentials.from_service_account_file(
        "local-credentials.json"
    )

# 配置GCS存储后端
DEFAULT_FILE_STORAGE = "storages.backends.gcloud.GoogleCloudStorage"
GS_CREDENTIALS = credentials
GS_BUCKET_NAME = "your-bucket-name"

部署时，以Heroku为例，通过命令行设置环境变量：

heroku config:set GOOGLE_CLOUD_CREDENTIALS='{"type": "service_account", "project_id": "...", ...}'

其他平台（如AWS Elastic Beanstalk、DigitalOcean App Platform）都支持类似的加密环境变量配置，这些变量会被平台加密存储，不会暴露在服务器文件系统中。

2. 使用平台内置的密钥管理服务 #

如果部署平台提供密钥管理工具（比如GCP Secret Manager、AWS Secrets Manager、Heroku Config Vars），直接将服务账号凭证存储在这些服务中，应用启动时动态拉取。

以GCP Secret Manager为例，你可以将JSON凭证存入Secret Manager，然后给应用的服务账号赋予访问该Secret的权限，在代码中通过API拉取凭证内容，完全不需要在本地或服务器存储任何密钥文件。

3. 部署在GCP平台时使用默认应用身份 #

如果你的Django项目部署在GCP自家服务（比如App Engine、Cloud Run、Compute Engine），可以不用手动管理服务账号JSON文件：

• 给部署的服务分配一个具有GCS访问权限的服务账号（比如赋予storage.objectAdmin角色）
• 应用会自动通过GCP元数据服务器获取身份凭证，代码中直接使用默认客户端即可，无需配置GS_CREDENTIALS

4. 核心安全原则 #

• 绝对不要将服务账号JSON文件提交到版本控制（务必把*.json相关密钥文件加入.gitignore）
• 生产环境禁止在服务器文件系统中保存任何明文密钥文件
• 给服务账号分配最小必要权限：比如只赋予GCS的storage.objectCreator或storage.objectViewer权限，不要用全局管理员权限

内容的提问来源于stack exchange，提问作者chri