GOOGLE_APPLICATION_CREDENTIALS认证异常求助：gcloud登录后仍无法工作

问题描述 #

我有一个项目通过GOOGLE_APPLICATION_CREDENTIALS环境变量关联服务账号JSON文件。已成功执行gcloud auth login和gcloud auth application-default login命令，但尝试移除该环境变量或设置无效值后运行项目时，系统仍在查找原GOOGLE_APPLICATION_CREDENTIALS对应的服务账号JSON文件，无法定位其查找来源。我本以为gcloud auth login使用的邮箱具备全部权限就能正常工作，但实际并非如此。

更新：尝试执行命令export GOOGLE_APPLICATION_CREDENTIALS=~/.config/gcloud/application_default_credentials.json，将其设置为gcloud登录的凭证文件，仍报错：

[google.auth._default] DEBUG: Explicit credentials path /Users/xxx/.config/gcloud/application_default_credentials.json is the same as Cloud SDK credentials path, fall back to Cloud SDK credentials

解决方案 #

• 彻底清除环境变量残留
  先确认环境变量是否真的被移除：

  echo $GOOGLE_APPLICATION_CREDENTIALS
  

  如果仍有输出，执行以下命令临时清除（若要永久清除，需修改~/.bashrc或~/.zshrc等shell配置文件，删除相关export语句）：

  unset GOOGLE_APPLICATION_CREDENTIALS
  

• 排查项目硬编码路径
  系统持续查找原JSON文件，大概率是项目代码或配置文件中硬编码了凭证路径。搜索项目目录中的相关内容：

  grep -r "GOOGLE_APPLICATION_CREDENTIALS\|service-account.json" ./your-project-directory
  

  找到硬编码路径后，替换为自动读取默认凭证的逻辑，比如Python中使用：

  import google.auth
  credentials, project_id = google.auth.default()
  

• 重置应用默认凭证
  重新生成应用默认凭证，覆盖旧配置：

  gcloud auth application-default revoke
  gcloud auth application-default login
  

  执行完成后重启项目，让SDK自动读取默认凭证路径。

• 明确凭证优先级逻辑
  Google云SDK的凭证查找优先级为：

  1. 代码显式指定的凭证
  2. GOOGLE_APPLICATION_CREDENTIALS环境变量路径
  3. 应用默认凭证（~/.config/gcloud/application_default_credentials.json）
  4. Cloud SDK用户凭证（gcloud auth login生成的凭证）
  5. 元数据服务器凭证（仅GCP内部环境生效）
     你的报错说明系统尝试fallback到Cloud SDK凭证，但可能该用户账号缺少项目所需权限，或项目代码强制要求使用服务账号凭证而非用户账号凭证。

• 验证用户账号权限
  确认gcloud auth login的账号拥有项目所需权限：

  gcloud auth list
  gcloud projects get-iam-policy your-project-id --filter="bindings.members:user:your-email@example.com"
  

  若权限不足，需在GCP控制台为该账号添加对应角色（如Editor或具体服务权限）。

内容的提问来源于stack exchange，提问作者Md. Parvez Alam