Spring Cloud Stream Binder连接Google PubSub报消费者绑定失败如何解决

问题根因 #

Spring Cloud Stream GCP Pub/Sub Binder默认开启自动资源预校验逻辑，启动消费者时会先调用Pub/Sub Admin接口查询目标主题是否存在，若资源缺失还会自动创建对应主题、订阅。仅被授予pubsub-subscriber角色的服务账号只有消息消费相关权限，没有查询主题元数据所需的pubsub.topics.get权限，因此直接触发PERMISSION_DENIED权限拒绝报错。

可行解决方式 #

方式1：补全最小权限（生产环境优先推荐） #

不需要给服务账号授予过高的主题管理权限，只需要补充主题查询所需的最小权限即可：

• 给项目B的test-sa-projectB服务账号，绑定项目A中主题A的pubsub.topics.get权限
• 可以直接使用GCP预置的roles/pubsub.viewer（Pub/Sub查看者）角色完成绑定，该角色仅包含Pub/Sub资源的只读权限，无创建、修改、删除资源的操作权限，符合最小权限原则
  绑定权限后等待1-2分钟权限生效，重启应用即可正常启动。

方式2：关闭自动资源校验逻辑（适合无权限授予的场景） #

可以通过配置直接关闭Binder启动时的资源存在性检查，完全跳过主题查询步骤，不需要额外授权：
如果使用application.properties配置，添加如下内容：

spring.cloud.stream.gcp.pubsub.binder.auto-create-resources=false

如果使用application.yml配置，添加如下内容：

spring:
  cloud:
    stream:
      gcp:
        pubsub:
          binder:
            auto-create-resources: false

注意事项：

1. 关闭该配置后，Binder不会自动创建缺失的主题、订阅资源，必须提前手动创建好对应消费组的订阅，且订阅必须正确绑定到项目A的主题A，否则运行时会报订阅不存在错误
2. 跨项目消费时，建议在Binding配置中填写主题的完整资源路径projects/<项目A的项目ID>/topics/<主题A名称>，避免Binder默认到当前项目B下查找资源导致消费失败

内容的提问来源于stack exchange，提问作者Anudeep Kota