运行在Google VM上的CodeIgniter如何对接Google Cloud Storage实现文件上传

前置网络与权限配置 #

• 给承载Web项目的Google VM实例绑定具备Storage Object Admin角色的服务账号，无需在项目代码中硬编码长期访问密钥，通过VM内置的元数据服务即可自动完成GCS鉴权，安全性远高于硬编码密钥的方案。
• 验证VM到GCS的网络连通性：在VM终端执行curl https://storage.googleapis.com，返回正常响应就说明出站防火墙没有拦截GCS API端点，网络链路通畅。

CodeIgniter项目侧改造 #

• 无需完全推翻现有可正常运行的上传校验逻辑（包括文件大小限制、后缀过滤、重名处理这些已编写完成的代码），只需要替换原逻辑里“将临时文件写入本地磁盘”的最后一步即可。
• 通过Composer安装官方GCS PHP客户端库：

composer require google/cloud-storage

• 如果是CodeIgniter 3版本，需要在框架入口文件引入Composer自动加载文件；如果是CI 4版本本身已经适配Composer自动加载，无需额外修改引入逻辑。
• 核心上传逻辑替换参考：

// 初始化GCS客户端，自动通过VM元数据完成鉴权，无需传入密钥参数
$storageClient = new Google\Cloud\Storage\StorageClient();
// 替换为你已创建完成的bucket名称
$targetBucket = $storageClient->bucket('your-existing-bucket-name');

// 直接复用CodeIgniter上传类拿到的临时文件路径，原有校验逻辑完全保留
$tempUploadPath = $_FILES['upload_field_name']['tmp_name'];
$targetObjectName = '/admin-upload/2024/processed-file-name.jpg'; // 自定义bucket内的存储路径

$targetBucket->upload(
    fopen($tempUploadPath, 'read'),
    ['name' => $targetObjectName]
);

高频踩坑点排查 #

• 出现上传权限报错时，优先排查VM绑定的服务账号权限，不要一开始就修改代码：可在VM终端执行gsutil ls gs://your-existing-bucket-name，如果命令能正常列出bucket内文件，就说明鉴权链路没问题，再查代码逻辑；如果命令报错，回去补服务账号的角色权限即可，这类问题占同类报错的90%以上。
• 不要为了快速调试把bucket设置为全公开后不做访问控制，需要对外可访问的文件可以在bucket层面配置统一的公开读取规则，无需对单个对象单独设置权限。
• 禁止将长期服务账号的JSON密钥硬编码到项目代码中，一旦代码仓库泄露，整个GCS存储资源都会面临安全风险，VM元数据鉴权完全可以满足生产环境的访问需求。

零代码改造成本的备选方案 #

如果想最短时间上线、完全不修改现有上传代码，可以在VM上通过gcsfuse工具将已创建的GCS bucket直接挂载到CI项目默认的本地上传目录，原有上传代码写入本地文件的操作会被自动映射到GCS存储中。该方案适合快速验证场景，缺点是大文件上传、高频读写场景下的稳定性和性能弱于直接调用GCS API的实现方式。

内容的提问来源于stack exchange，提问作者buğracan