如何在无用户认证的客户端侧调度带payload的Google Cloud Task

• 你观察到的「先触发一个Cloud Function调度任务，再由Cloud Tasks触发另一个Cloud Function执行」是Cloud Tasks的标准使用范式，不是示例的特殊写法。Cloud Tasks的任务创建接口属于GCP管控类接口，强制要求IAM权限校验，天生不支持直接从浏览器、移动端等公网客户端直接调用。
• 你遇到的You need to pass auth instance to use gRPC-fallback client in browser or other non-Node.js environments报错，根本原因是@google-cloud/tasks是服务端专用SDK，仅设计用于Node.js后端运行环境，本身就没有做浏览器环境适配，它依赖的认证逻辑在客户端环境无法正常运行。
• 你下载的service account JSON密钥文件绝对不能放到客户端代码里，不存在“让用户用这个密钥完成认证”的说法：只要密钥文件随客户端包分发，就可以被反编译、抓包提取，攻击者拿到密钥后可以无限制在你的队列里创建任务，甚至操作你GCP项目下的其他资源，属于严重的安全事故隐患，会直接导致配额耗尽、恶意刷量产生高额账单。

你要实现的1~90分钟延迟触发任务写库的逻辑完全可以落地，全程不需要终端用户接触任何GCP认证流程，架构如下：

1. 客户端侧逻辑简化：用户点击按钮时，直接向你自己的后端调度接口发普通HTTP请求，携带需要的延迟时长、业务payload即可，不需要引入任何GCP相关SDK。这个调度接口可以用Cloud Function、Cloud Run等GCP托管服务承载，接口层只需要做你自己的业务鉴权（比如校验用户登录态、参数合法性），不需要对接GCP的认证体系。
2. 调度接口侧逻辑：给承载调度接口的服务绑定拥有roles/cloudtasks.enqueuer（任务入队权限）的服务账号，GCP托管服务会自动加载凭据，不需要手动上传JSON密钥、也不需要写额外认证代码。接口收到合法请求后，用你现在写的CloudTasksClient逻辑创建延迟任务，任务的目标地址配置为实际执行写库操作的Cloud Function，同时给任务配置OIDC认证令牌，避免写库函数被公网恶意调用。
3. 任务执行侧：配置好的延迟时间到点后，Cloud Tasks会自动携带签名过的OIDC令牌和payload请求你的写库Cloud Function，函数校验令牌合法后，执行payload写入数据库的逻辑即可。

你贴的创建Cloud Task的代码逻辑本身没有错误，只需要把这段代码从客户端工程移到上述的调度接口（服务端Cloud Function/Cloud Run）中即可：

• 客户端完全不需要初始化CloudTasksClient，也不需要感知Cloud Tasks的存在
• 不要尝试通过给客户端SDK补auth实例的方式绕过报错直接调用Cloud Tasks API，哪怕临时调通也会留下严重的安全漏洞
• 服务端运行这段代码时，不需要手动加载JSON密钥，绑定了对应权限的服务账号后，SDK会自动获取凭据完成认证

内容的提问来源于stack exchange，提问作者Louis Sankey