GKE中Spring容器连接CloudSQL报403 Forbidden，如何本地测试访问？

核心前提说明 #

你当前使用的com.google.cloud.sql.mysql.SocketFactory连接方式，不需要额外部署Cloud SQL代理，也不需要手动创建K8s Secret存储数据库账号密码，但本质依赖运行环境的Google Cloud身份权限：本地运行时默认读取你当前登录的gcloud账号权限，因此可以正常连接；GKE环境下Pod默认继承节点的服务账号权限，该账号没有Cloud SQL访问权限就会抛出403错误。
请注意核对你的配置一致性：你本地代理用的实例ID是psomemy:europe-west2:pmydb，但Spring Boot连接字符串中填的是myapp:europe-west2:mydbonly，实例ID不一致也会触发权限报错，请先修正配置后再做测试。

本地模拟测试方法 #

方法1：直接本地复现GKE环境报错 #

• 首先获取GKE集群节点使用的服务账号密钥文件（可在Cloud Console IAM页面下载）
• 本地执行命令切换认证身份，模拟GKE的权限环境：

  gcloud auth activate-service-account <GKE节点服务账号邮箱> --key-file=<服务账号密钥JSON文件路径>
  

• 本地直接启动你的Spring Boot应用，使用部署到GKE的同款连接字符串，不要启动本地Cloud SQL代理，观察启动日志是否报403错误，即可验证是否是权限问题导致的启动失败。

方法2：通过Postman测试连接状态 #

• 在你的Spring Boot应用中新增一个简易测试接口，示例逻辑如下：

  @GetMapping("/test/db-connection")
  public String testDbConnection() {
      try (Connection conn = DriverManager.getConnection(springDatasourceUrl, dbUsername, dbPassword)) {
          return "数据库连接成功";
      } catch (SQLException e) {
          return "数据库连接失败，报错信息：" + e.getMessage();
      }
  }
  

• 按照方法1的步骤切换本地gcloud认证身份后启动应用，用Postman调用http://localhost:8080/test/db-connection接口，即可直接看到连接结果。

403报错修复方案 #

• 给GKE节点服务账号授予Cloud SQL Client角色：进入Cloud Console → IAM与管理员 → IAM页面，找到GKE节点对应的服务账号，添加Cloud SQL Client角色即可解决权限问题。
• 如果需要更细粒度的权限隔离，也可以配置GKE工作负载身份，给应用Pod单独绑定拥有Cloud SQL Client权限的服务账号。

内容的提问来源于stack exchange，提问作者Kris Swat