向Pub/Sub主题发布消息时出现间歇性认证错误如何排查？

问题复现前提 #

• 本地用个人账号认证运行Pub/Sub消息发布测试100%成功
• CI环境用服务账号认证运行相同测试，低概率抛出ValueError: None could not be converted to unicode认证错误
• 错误来自Google官方认证库的unicode转换逻辑，传入值为None，正常场景下应为有效认证令牌

分步排查方案 #

• 第一步：验证CI环境令牌获取链路稳定性
  在CI测试执行前增加前置校验步骤，运行gcloud auth print-access-token命令主动获取服务账号令牌，增加3次重试逻辑，同时打印每次请求的返回状态、耗时和结果。如果该步骤也偶发返回空值或报错，可定位为CI到Google OAuth服务的网络不稳定导致令牌获取失败，可通过配置Google Cloud私有访问、增加认证请求重试次数解决。
• 第二步：校验依赖库版本一致性
  对比本地和CI环境的google-auth、google-cloud-pubsub、grpcio依赖版本，确认CI环境使用的版本是否存在已知的异步认证令牌刷新bug。可将CI环境的依赖版本锁定为本地正常运行的版本，或者升级到官方最新稳定版验证问题是否消失。
• 第三步：显式初始化认证凭证并提前校验
  修改现有发布代码，不在PublisherClient初始化时依赖隐式认证，改为显式加载服务账号凭证，主动调用refresh()方法完成令牌预获取，增加令牌非空校验逻辑，确认令牌有效后再初始化客户端执行消息发布，避免异步发布场景下认证失败抛出模糊错误。
  示例修改代码：

  from google.cloud import pubsub_v1
  from google.oauth2 import service_account
  import google.auth.transport.requests
  
  def post_messages(project_id, topic_id, rows):
      # 显式加载凭证并预刷新
      credentials = service_account.Credentials.from_service_account_file("your-sa-key.json")
      credentials.refresh(request=google.auth.transport.requests.Request())
      if not credentials.token:
          raise RuntimeError("Failed to get valid auth token")
      
      futures = dict()
      # 初始化客户端时传入预校验过的凭证
      publisher = pubsub_v1.PublisherClient(credentials=credentials)
      # 原有发布逻辑不变
  

• 第四步：开启认证全链路debug日志
  在测试代码开头增加日志配置，开启Google认证模块的debug日志，打印令牌请求、刷新、使用的全流程信息，CI运行报错后可直接通过日志定位是令牌请求返回空，还是内部处理逻辑丢失了令牌值。
  日志配置示例：

  import logging
  logging.basicConfig(level=logging.DEBUG)
  logging.getLogger("google.auth").setLevel(logging.DEBUG)
  

• 第五步：验证异步发布场景的并发冲突
  现有代码使用异步回调方式批量发布消息，低版本客户端可能存在并发触发认证刷新时的竞态条件，导致令牌被置为None。可先将测试场景下的消息发布改为同步模式，或者限制客户端的最大异步请求数，验证是否是并发场景导致的问题。

内容的提问来源于stack exchange，提问作者jamiet