GCF访问Cloud Storage报匿名调用者无storage.objects.get权限

运行HTTP请求触发的Google Cloud Function（GCF，用于将Cloud Storage中存储的图片打包为zip文件）时，返回如下报错：

Anonymous caller does not have storage.objects.get access to the Google Cloud Storage object.
该函数调试完成后已正常运行数日，存储桶内图片均由其他函数上传写入，报错出现前未修改核心业务逻辑，初步判定为认证类问题，经多轮常规排查未修复。

functions: Beginning execution of "someFunction"
⚠ Google API requested!
--URL: "https://oauth2.googleapis.com/token"
--Be careful, this may be a production service.

• 核查Cloud Storage的IAM权限配置
• 配置GOOGLE_APPLICATION_CREDENTIALS环境变量
• 为存储资源授予allUsers对应的存储访问角色

按出现概率从高到低排查：

1. 运行时凭证加载失败触发匿名访问
   手动配置GOOGLE_APPLICATION_CREDENTIALS环境变量是最高发的诱因：GCF运行环境会自动注入默认服务账号的合法凭证，若手动配置该变量，客户端会优先读取变量指向的密钥文件。如果变量指向的路径在GCF运行环境中不存在、对应密钥被删除/过期、绑定的服务账号被禁用，Storage客户端会自动降级为匿名身份发起请求，触发该报错。
   修复：删除手动配置的GOOGLE_APPLICATION_CREDENTIALS环境变量，让函数使用GCF默认的运行时服务账号身份发起请求，再验证访问是否正常。
2. 对象级ACL覆盖桶级权限
   存储桶内的文件由其他函数上传，若上传逻辑中手动设置了对象级私有ACL（未配置继承桶权限），即使桶级配置了访问权限、甚至开放了allUsers公开访问，对象级ACL会优先生效拦截无权限请求。
   排查方式：在Cloud Storage控制台随机选中一张报错的图片，进入对象详情页查看权限配置，确认是否存在对象级权限限制。
   修复：批量重置对象权限为继承桶级权限，同时修改上传函数逻辑，上传文件时不要设置限制性对象ACL。
3. 运行时服务账号权限被回收
   正常运行数日后突发报错，大概率是组织级权限审计、自动运维脚本回收了GCF运行时服务账号的对应权限：
   • 确认GCF绑定的运行时服务账号（默认为App Engine默认服务账号），是否被授予了包含storage.objects.get权限的角色（如存储对象查看者角色）
   • 确认角色绑定未设置过期时间，未被组织级拒绝策略覆盖
4. Storage客户端初始化逻辑错误
   若代码中初始化Cloud Storage客户端时，手动指定了不存在的密钥路径、显式配置了匿名凭证，也会导致请求以匿名身份发起。
   修复：初始化Storage客户端时不要手动指定凭证参数，直接使用默认凭证链，由GCF运行环境自动注入合法身份。

内容的提问来源于stack exchange，提问作者Fluer