本地Python基于OAuth2两类授权流调用GCP HTTP Cloud Function的报错求助

通用前置配置（两种流都需完成） #

• 确认目标HTTP Cloud Function已开启强制OIDC认证（仅当需要OAuth鉴权时开启，未开启的函数可直接调用无需token）
• 给调用主体（个人账号/服务账号）绑定roles/cloudfunctions.invoker权限：在目标Cloud Function的权限配置页，添加对应主体的该角色
• 确认OAuth Client ID的类型匹配使用场景，不要混用不同类型的客户端凭证

一、授权码流（交互式，适合本地开发调试） #

对应原有代码使用的InstalledAppFlow，需修正scope参数并补充调用逻辑：

原代码核心错误：使用了https://www.googleapis.com/auth/userinfo.profile这个与Cloud Function调用完全无关的scope，导致登录后无权限访问资源。

修正后完整代码 #

from google_auth_oauthlib import flow
import requests

# 替换为你的桌面应用类型OAuth Client ID的JSON路径
OAUTH_CREDENTIAL_PATH = "client_secret.json"
# 替换为目标Cloud Function的完整URL
CF_URL = "https://<region>-<project-id>.cloudfunctions.net/<function-name>"
# 正确的授权Scope，包含GCP资源调用权限
SCOPES = ['https://www.googleapis.com/auth/cloud-platform']

# 初始化授权流
app_flow = flow.InstalledAppFlow.from_client_secrets_file(
    OAUTH_CREDENTIAL_PATH,
    scopes=SCOPES
)

# 本地运行会自动打开浏览器完成Google账号授权，无需手动复制链接
credentials = app_flow.run_local_server(port=0)

# 携带token调用Cloud Function
auth_header = {"Authorization": f"Bearer {credentials.token}"}
response = requests.get(CF_URL, headers=auth_header)
print("调用结果：", response.text)

常见报错排查 #

• 若登录后提示权限不足：检查你登录的Google账号是否已绑定目标CF的roles/cloudfunctions.invoker权限
• 若初始化流时报客户端类型错误：确认下载的client_secret.json是桌面应用类型的OAuth Client ID，而非Web应用或其他类型

二、客户端凭证流（无交互，适合脚本自动运行） #

该流程无需跳转浏览器，直接用客户端凭证换取访问token，适合无人工干预的本地脚本场景。GCP下推荐用服务账号密钥实现该流程，稳定性更高。

实现代码（服务账号版客户端凭证流） #

import requests
from google.oauth2.service_account import Credentials

# 替换为你的服务账号JSON密钥路径
SERVICE_ACCOUNT_PATH = "service-account.json"
# 替换为目标Cloud Function的完整URL
CF_URL = "https://<region>-<project-id>.cloudfunctions.net/<function-name>"
SCOPES = ['https://www.googleapis.com/auth/cloud-platform']

# 用服务账号凭证直接生成可访问CF的token
credentials = Credentials.from_service_account_file(
    SERVICE_ACCOUNT_PATH,
    scopes=SCOPES
)
# 自动刷新过期token
credentials.refresh(requests.Request())

# 调用Cloud Function
auth_header = {"Authorization": f"Bearer {credentials.token}"}
response = requests.get(CF_URL, headers=auth_header)
print("调用结果：", response.text)

前置配置 #

• 给服务账号绑定目标CF的roles/cloudfunctions.invoker权限
• 服务账号JSON密钥从GCP服务账号的密钥页下载，非OAuth Client ID的JSON文件

内容的提问来源于stack exchange，提问作者ALAL