如何保障GCS密钥JSON文件安全？部署App Engine时是否有泄露风险

访问风险结论 #

正常部署场景下，如果你没有在app.yaml中主动配置静态资源规则对外暴露JSON后缀文件，外部用户无法直接访问到你应用源码目录下的密钥文件，App Engine不会默认对外暴露源码目录的任意文件。但这种方案仍然存在潜在风险：如果你的应用存在目录遍历类的漏洞，攻击者仍有可能读取到该密钥文件的内容，不建议采用这种部署方式。

更安全的无密钥部署方案（推荐） #

App Engine运行环境默认绑定了官方服务账号，你完全不需要在部署包中携带本地服务账号密钥文件，Google Cloud官方客户端库会自动读取环境内的默认凭证完成鉴权，仅需修改初始化代码即可：

const {Storage} = require('@google-cloud/storage');
// 无需指定keyFilename和projectId，客户端库自动获取环境默认凭证
const storage = new Storage();

你只需要提前完成权限配置即可：

• 进入Google Cloud控制台IAM页面，找到App Engine默认服务账号（格式为[你的项目ID]@appspot.gserviceaccount.com）
• 为该服务账号授予对应GCS存储桶的所需权限（例如存储对象读取、写入权限等）
• 从你的代码目录中删除本地密钥JSON文件，部署时也不需要再上传该文件，从根源避免密钥泄露风险

自定义服务账号的替代方案 #

如果你必须使用指定的自定义服务账号而非App Engine默认服务账号，可以采用环境变量注入凭证的方案，无需落地为本地文件：

1. 将服务账号JSON密钥的完整内容配置为App Engine的环境变量，或者存入Google Cloud Secret Manager中读取
2. 修改初始化代码，直接传入解析后的凭证内容即可：

const {Storage} = require('@google-cloud/storage');
const storage = new Storage({
  credentials: JSON.parse(process.env.GCS_SERVICE_ACCOUNT),
  projectId: process.env.GCP_PROJECT_ID
});

内容的提问来源于stack exchange，提问作者Tejas Shirnalkar