如何在无JSON凭证文件时创建Google Firestore客户端

Google Cloud Python客户端原生支持直接传入内存中的凭证对象完成认证，完全不需要依赖本地JSON凭证文件，也不需要写临时文件做中转，实现非常简洁。

核心实现逻辑 #

使用官方提供的google.oauth2.service_account.Credentials.from_service_account_info方法，直接从内存中的凭证字典构造认证对象，初始化Firestore客户端时传入该对象即可，全程无文件IO操作。

实现步骤 #

• 在无服务器平台的密钥/环境变量配置中，存储服务账号凭证的相关内容，你可以选择拆分单个字段存储（更安全），也可以直接存储整段JSON字符串。
• 代码中直接从环境变量读取配置，在内存中构造凭证对象，传入Firestore客户端完成初始化。

代码示例 #

首先确保安装了必要依赖：

pip install google-cloud-firestore google-auth

方式1：拆分凭证字段为独立环境变量（推荐）

不需要存储整段JSON，把凭证的各个字段拆成单独的环境变量配置，避免大段字符串转义问题：

import os
from google.cloud import firestore
from google.oauth2.service_account import Credentials

# 从环境变量读取凭证字段，内存中构造凭证对象
creds = Credentials.from_service_account_info(
    {
        "type": os.getenv("GCP_SA_TYPE", "service_account"),
        "project_id": os.getenv("GCP_PROJECT_ID"),
        "private_key_id": os.getenv("GCP_PRIVATE_KEY_ID"),
        "private_key": os.getenv("GCP_PRIVATE_KEY").replace("\\n", "\n"),
        "client_email": os.getenv("GCP_CLIENT_EMAIL"),
        "client_id": os.getenv("GCP_CLIENT_ID"),
        "auth_uri": "https://accounts.google.com/o/oauth2/auth",
        "token_uri": "https://oauth2.googleapis.com/token",
        "auth_provider_x509_cert_url": "https://www.googleapis.com/oauth2/v1/certs",
        "client_x509_cert_url": os.getenv("GCP_CLIENT_CERT_URL")
    },
    scopes=["https://www.googleapis.com/auth/datastore"]
)

# 传入凭证直接初始化客户端，不需要读取任何本地文件
client = firestore.Client(
    credentials=creds,
    project=os.getenv("GCP_PROJECT_ID")
)

注意：私钥字段从环境变量读取时通常会把换行符转义成\\n，需要手动替换回\n否则会报签名错误。

方式2：整段JSON作为单个环境变量

如果觉得拆分字段麻烦，也可以直接把服务账号JSON的完整内容作为单个环境变量存储，同样不需要落盘，直接在内存中解析：

import os
import json
from google.cloud import firestore
from google.oauth2.service_account import Credentials

# 内存中直接解析JSON字符串，不写入文件
sa_info = json.loads(os.getenv("GCP_SA_JSON"))
creds = Credentials.from_service_account_info(sa_info)
client = firestore.Client(credentials=creds, project=sa_info["project_id"])

额外优化建议 #

如果你部署的平台是GCP原生的无服务器服务（Cloud Run、Cloud Functions、App Engine等），不需要手动配置任何凭证，平台会自动为运行环境注入绑定的服务账号身份，客户端直接用无参构造firestore.Client()就能完成认证，是安全性最高、维护成本最低的方案。

这种实现方式是Google官方原生支持的标准用法，没有任何hack逻辑，不需要处理临时文件的创建、权限、清理问题，比写入临时文件再加载的方案简洁可靠很多。

内容的提问来源于stack exchange，提问作者pyFiddler