本地Node.js通过ADC触发GCP函数时google-auth-library报错排查

问题原因 #

你遇到的报错本质是凭证类型的支持差异：

• 本地执行gcloud auth application-default login生成的是用户身份的ADC凭证，这类凭证默认支持获取Access Token，所以你调用PubSub这类依赖Access Token鉴权的服务可以正常工作。
• 触发受IAM保护的Cloud Function需要的是绑定目标函数为受众（Audience）的ID Token，旧版本的google-auth-library没有实现本地用户凭证兑换ID Token的逻辑，只会从GCE元数据服务、或者GOOGLE_APPLICATION_CREDENTIALS指向的服务账号密钥文件读取凭证生成ID Token，因此抛出环境不支持的错误。
  你用curl携带gcloud auth print-identity-token生成的token可以正常调用，也侧面证明你的账号权限完全没有问题，问题仅出在客户端库的凭证识别逻辑上。

解决方法 #

方法一：升级依赖（优先推荐） #

目前最新稳定版的google-auth-library已经原生支持从本地用户ADC凭证获取ID Token，直接升级依赖即可，不需要修改任何业务代码：

npm update google-auth-library

升级完成后直接运行原有代码，库会自动读取本地gcloud生成的ADC缓存，自动完成ID Token的申请和请求注入，即可正常触发函数。

方法二：锁版本场景下显式指定凭证路径 #

如果项目因为依赖兼容原因无法升级google-auth-library版本，可以在初始化GoogleAuth实例时显式指定本地ADC凭证的路径，手动指定ID Token需要的权限范围：

const os = require('os');
const path = require('path');
const { GoogleAuth } = require('google-auth-library');

// 自动适配不同系统的gcloud ADC默认存储路径
const adcPath = path.join(
  os.homedir(),
  process.platform === 'win32' 
    ? '/AppData/Roaming/gcloud/application_default_credentials.json'
    : '/.config/gcloud/application_default_credentials.json'
);

const auth = new GoogleAuth({
  keyFile: adcPath,
  scopes: ['openid', 'email', 'profile']
});

// 后续request逻辑不需要修改

方法三：临时用服务账号密钥兜底 #

如果以上两种方式都无法生效，可以临时创建一个拥有Cloud Function调用权限的服务账号，下载对应的JSON密钥文件，启动应用前配置环境变量指向密钥文件即可：

# Linux/macOS 终端执行
export GOOGLE_APPLICATION_CREDENTIALS="/本地路径/服务账号密钥.json"

# Windows PowerShell 执行
$env:GOOGLE_APPLICATION_CREDENTIALS="C:\本地路径\服务账号密钥.json"

配置完成后原有代码不需要修改即可正常运行，注意不要把服务账号密钥提交到代码仓库，仅用于本地临时调试即可。

验证说明 #

调整完成后不需要手动拼接Authorization请求头，auth.getIdTokenClient()返回的客户端会自动在请求中注入合法的ID Token，和你之前用curl调用的鉴权效果完全一致。

内容的提问来源于stack exchange，提问作者Danny