GitHub Actions密钥配置GOOGLE_APPLICATION_CREDENTIALS的最佳实践

核心逻辑是：CI运行时动态将GitHub Secrets中存储的服务账号密钥内容写入本地临时文件，再将该临时文件的绝对路径赋值给GOOGLE_APPLICATION_CREDENTIALS环境变量即可，全程不需要修改你的Node.js业务代码，GCP官方Pub/Sub、BigQuery等所有客户端的ADC（应用默认凭据）机制会自动完成鉴权，和本地开发的鉴权逻辑完全一致。

具体操作步骤 #

• 提前将GCP服务账号JSON密钥的完整原文存入GitHub仓库的Secrets，例如命名为GCP_SA_KEY，存储时直接复制JSON文件的全部文本粘贴即可，不需要手动转义、删改内容。
• 在GitHub Actions workflow中配置步骤，动态生成密钥文件、注入环境变量后再运行Node.js脚本，参考配置如下：

jobs:
  run-gcp-related-job:
    runs-on: ubuntu-latest
    # 可以把环境变量配置在Job级别，所有步骤自动生效，不用重复写
    env:
      GOOGLE_APPLICATION_CREDENTIALS: ${{ github.workspace }}/gcp-sa-key.json
    steps:
      - name: 拉取代码
        uses: actions/checkout@v4

      - name: 生成GCP服务账号密钥文件
        run: |
          # 将Secrets中的密钥内容写入本地文件
          echo "${{ secrets.GCP_SA_KEY }}" > $GOOGLE_APPLICATION_CREDENTIALS
          # 设置文件最小权限，仅当前运行用户可读写，降低泄露风险
          chmod 600 $GOOGLE_APPLICATION_CREDENTIALS

      - name: 安装依赖&运行Node.js脚本
        run: |
          npm ci
          node your-pubsub-bq-script.js

注意事项 #

• 动态生成的gcp-sa-key.json不需要提交到代码仓库，GitHub Actions运行器在任务结束后会自动销毁整个工作目录，不会残留密钥文件。
• 不要尝试直接把JSON格式的密钥内容赋值给GOOGLE_APPLICATION_CREDENTIALS，该变量仅支持传入文件系统的有效路径，直接传JSON内容会触发所有GCP客户端的鉴权失败错误。
• 写入文件时用双引号包裹Secrets的插值变量，避免JSON里的空格、特殊字符被shell解析导致格式损坏。
• 不需要在Node.js代码里手动给各个GCP客户端传入密钥参数，保持现有默认初始化逻辑即可，ADC机制会自动读取环境变量指向的凭据文件完成鉴权。

踩坑提示：如果你在Windows运行器上执行上述操作，写入文件的命令需要替换为PowerShell对应语法，路径分隔符也要同步调整，绝大多数场景用Ubuntu运行器直接复用上面的配置即可。

内容的提问来源于stack exchange，提问作者galah92