Go存储客户端无法访问GCP Bucket的两类问题求助

GCP官方SDK的默认凭证查找优先级为：

1. 读取GOOGLE_APPLICATION_CREDENTIALS环境变量指定的凭证文件
2. 读取当前用户家目录下~/.config/gcloud/application_default_credentials.json默认路径的凭证文件
3. 向GCP元数据服务器请求实例绑定的服务账号凭证

你遇到的报错是因为SDK在第一步或第二步检测到了凭证文件路径，但服务运行用户无读取权限，直接终止了凭证查找逻辑，没有走到请求元数据服务器的步骤，和你描述的两个问题完全匹配。

方案1：优先使用元数据服务器凭证（推荐，GCP环境内无需手动维护凭证文件） #

• 删除实例上所有手动创建的application_default_credentials.json文件，包括报错提示的/root/.config/gcloud/application_default_credentials.json
• 检查服务运行环境的环境变量，删除GOOGLE_APPLICATION_CREDENTIALS变量配置
• 确认部署服务的GCP实例（GCE/GKE/Cloud Run等）已绑定具备目标GCS Bucket写入权限的服务账号
• 若使用GCE实例，额外确认实例的访问权限范围（Access Scopes）已开启GCS读写权限，默认访问范围会限制存储服务的写入权限

方案2：手动使用服务账号凭证文件 #

• 不要将凭证文件放在/root目录下，建议存放到服务专属目录，例如/opt/your_app/service-account.json
• 调整文件权限，确保服务运行用户有读取权限：

chown 服务运行用户名:用户组 /opt/your_app/service-account.json
chmod 600 /opt/your_app/service-account.json

• 给服务配置GOOGLE_APPLICATION_CREDENTIALS环境变量，值为上述凭证文件的绝对路径

你可以在初始化GCS客户端时明确指定凭证查找逻辑，避免异常路径干扰：

import (
    "cloud.google.com/go/storage"
    "golang.org/x/net/context"
    "google.golang.org/api/option"
    "golang.org/x/oauth2/google"
)

func InitGCSClient(ctx context.Context) (*storage.Client, error) {
    // 明确指定凭证查找规则，会自动覆盖默认优先级逻辑
    cred, err := google.FindDefaultCredentials(ctx, storage.ScopeReadWrite)
    if err != nil {
        return nil, err
    }
    return storage.NewClient(ctx, option.WithCredentials(cred))
}

内容的提问来源于stack exchange，提问作者Anant Pathak