如何使用Python通过Base64安全配置Google服务身份凭据？

一、排查当前显式加载凭据失败的问题 #

• 确认凭据文件路径有效性：你当前使用的是相对路径acn-depth-3be328555b6e.json，需要确认该文件路径和脚本执行时的工作目录匹配，建议先替换为绝对路径测试
• 确认凭据文件本身合规：打开JSON文件检查是否存在格式错误、核心字段缺失（必须包含type、project_id、private_key、client_email等必填字段），同时确认该服务账号已经开通了Speech API调用权限、角色配置符合要求
• 确认依赖版本匹配：执行pip install --upgrade google-cloud-speech google-auth将相关依赖升级到最新稳定版，排除版本兼容问题

二、实现Base64编码凭据的安全方案 #

要避免直接存储明文JSON凭据文件，可以提前把凭据内容编码为Base64字符串存入环境变量，运行时动态解码加载，不需要在服务器落地JSON文件，安全性远高于直接存储本地文件路径，代码示例如下：

import base64
import json
import os
from google.oauth2 import service_account
from google.cloud import speech

def get_credentials():
    # 提前把凭据JSON全内容编码为Base64字符串，存入环境变量GOOGLE_CREDENTIALS_BASE64
    cred_base64 = os.environ.get("GOOGLE_CREDENTIALS_BASE64")
    # 解码得到原JSON内容
    cred_json = base64.b64decode(cred_base64).decode("utf-8")
    cred_dict = json.loads(cred_json)
    # 构造凭据对象，指定Speech API所需的权限范围
    return service_account.Credentials.from_service_account_info(
        cred_dict,
        scopes=["https://www.googleapis.com/auth/cloud-platform"]
    )

# 初始化Speech客户端时直接传入凭据对象，无需读取本地文件
speech_client = speech.SpeechClient(credentials=get_credentials())

你可以在本地提前执行以下代码生成Base64凭据字符串，之后只需要把输出的字符串配置到部署环境的环境变量中即可，无需把JSON凭据文件上传到服务器：

import base64
with open("你的本地凭据文件路径.json", "rb") as f:
    print(base64.b64encode(f.read()).decode("utf-8"))

三、本地文件加载的补充安全配置 #

如果仍需要使用本地凭据文件加载，Linux/Mac环境下请给凭据文件设置600权限，避免其他系统用户读取，同时将凭据文件加入.gitignore，禁止提交到代码仓库。

内容的提问来源于stack exchange，提问作者Theethat Anuraksoontorn