部署访问Cloud Firestore的Python Cloud Function凭证配置问题

你在Google Cloud控制台在线编写Cloud Function代码时，完全不需要手动上传本地开发用的serviceAccountKey.json文件，本地加载密钥的逻辑是为非GCP环境准备的，直接搬到云环境属于多余操作，还会带来安全隐患，具体可行方案如下：

首选方案：利用GCP内置默认身份认证（零密钥配置） #

• Cloud Function运行时会自动绑定服务账号，默认绑定的App Engine默认服务账号默认就拥有同项目下Cloud Firestore的完整读写权限，不需要额外配置凭证。
• 你只需要删掉本地开发用的credentials.Certificate("serviceAccountKey.json")这段加载密钥的代码，初始化Firebase Admin SDK时不传入凭证参数，SDK会自动从运行时环境拉取合法身份凭证，可直接正常访问Firestore，示例代码：

import firebase_admin
from firebase_admin import firestore

# 无需传入credential参数，自动读取环境内置凭证
firebase_admin.initialize_app()
db = firestore.client()

# 后续按原有逻辑操作Firestore即可

• 如果你需要收紧权限，只需要在Cloud Function的配置-「服务账号」栏，绑定提前配置好对应Firestore最小权限的自定义服务账号即可，全程不需要接触、上传密钥文件。

特殊场景方案：必须使用自定义密钥文件（非必要不推荐） #

如果你因为跨项目访问等特殊需求，必须使用独立的serviceAccountKey凭证：

• 在控制台部署函数时，将serviceAccountKey.json和你的函数脚本一同上传到函数部署包中，保证密钥文件和入口脚本处于同一工作目录
• 这种场景下你原有的credentials.Certificate("serviceAccountKey.json")代码可以正常运行
• 风险提示：将密钥文件随代码上传存储，一旦函数代码被未授权访问，密钥会直接泄露，存在严重安全隐患，无强需求不要使用该方案

更顺畅的本地+云端统一开发部署建议 #

• 本地开发阶段也不要下载固定的serviceAccountKey.json，安装GCP命令行工具后执行一次gcloud auth application-default login登录你的GCP账号，本地运行的Firebase Admin SDK会自动读取该登录凭证，和云端的认证逻辑完全一致，本地和云端可以共用同一套代码，不需要额外写环境判断切换凭证逻辑。
• 不推荐长期在控制台在线编辑代码，本地开发完成后直接通过gcloud functions deploy命令一键部署函数即可，更方便做代码版本管理。

内容的提问来源于stack exchange，提问作者Rene Alas