无需上传服务账号密钥可否通过HTTP POST向Pubsub主题发布消息？

核心实现逻辑为绕开在Hologram侧存储Google服务账号密钥的需求，通过中转层处理鉴权和Pub/Sub消息发布逻辑，以下是几种落地成本极低的方案：

方案1：GCP Cloud Function 中转（最推荐） #

该方案完全不需要在外部存储服务账号密钥，所有权限逻辑都在GCP内部闭环：

• 创建一个HTTP触发的Cloud Function，运行时服务账号使用默认服务账号或新建专用账号
• 为该服务账号授予目标Pub/Sub主题的roles/pubsub.publisher权限，遵循最小权限原则，仅授予该主题的发布权限即可
• 函数代码只需实现Hologram请求校验、请求内容转发到Pub/Sub的逻辑即可，示例Node.js代码如下：

const { PubSub } = require('@google-cloud/pubsub');
const pubsub = new PubSub();
const TARGET_TOPIC = '你的目标Pub/Sub主题名';
const PRESET_SECRET = '你自定义的校验密钥';

exports.webhookToPubsub = async (req, res) => {
  // 校验请求合法性，防止恶意调用
  if (req.headers['x-hologram-auth'] !== PRESET_SECRET) {
    return res.status(403).send('无权访问');
  }
  // 发布消息到Pub/Sub
  const messageId = await pubsub.topic(TARGET_TOPIC).publishMessage({
    data: Buffer.from(JSON.stringify(req.body)),
    attributes: {
      source: 'hologram_webhook',
      timestamp: Date.now().toString()
    }
  });
  return res.status(200).send(`消息发布成功，ID：${messageId}`);
};

• 部署后将Cloud Function的HTTP触发地址填写到Hologram的Webhook目标地址，同时在Hologram的Webhook配置中添加x-hologram-auth请求头，值为你预设的校验密钥即可。

方案2：GCP Cloud Run 中转 #

和Cloud Function逻辑完全一致，适合需要更灵活的运行环境、自定义容器的场景，同样可以使用运行时服务账号权限，不需要手动管理密钥。

方案3：第三方无服务函数中转 #

如果不想使用GCP生态的无服务产品，也可以选择Vercel Edge Function、Netlify Function等第三方无服务平台：

• 将Google服务账号JSON的完整内容加密存储在对应平台的环境变量中，不需要物理上传文件
• 函数代码读取环境变量中的密钥内容初始化Pub/Sub客户端，剩余逻辑和上述Cloud Function逻辑一致
• 部署后将函数的访问地址填写到Hologram的Webhook配置中即可。

安全注意事项 #

• 所有中转方案都必须添加请求合法性校验，建议通过自定义请求头密钥、Hologram固定出口IP白名单两种方式组合校验，避免非法请求调用
• 所有用到的服务账号仅授予最小必要权限，不要授予超出目标Pub/Sub主题发布之外的其他权限。

内容的提问来源于stack exchange，提问作者Ryan Loggerythm