GCP Storage权限异常：已认证仍提示匿名调用无objects.get权限

我来帮你拆解下这个问题——明明已经执行了gcloud auth login，也在代码里指定了凭据，却还是触发Anonymous caller does not have storage.objects.get access错误，这种情况我之前踩过不少坑，大概率是凭据没有被正确加载或者代码逻辑里的凭据配置没生效，给你几个具体的排查步骤：

• 区分gcloud CLI凭据和应用默认凭据
  你执行的gcloud auth login是给gcloud命令行工具用的用户凭据，但本地代码默认读取的是应用默认凭据（Application Default Credentials），这俩不是一回事。你需要在终端额外执行：

  gcloud auth application-default login
  

  完成授权后再测试代码，看是否还会触发匿名调用错误。

• 检查代码里的凭据配置是否真的生效
  你提到“声明storageBucket时提供了凭据”，要确认这段逻辑没有问题。比如用Node.js的@google-cloud/storage库时，正确的凭据加载方式应该是这样的：

  const { Storage } = require('@google-cloud/storage');
  // 方式1：通过服务账号密钥文件
  const storage = new Storage({
    keyFilename: '/绝对路径/到/你的服务账号密钥.json'
  });
  // 方式2：直接传入凭据对象
  // const storage = new Storage({ credentials: require('./service-account-key.json') });
  const bucket = storage.bucket('你的存储桶名称');
  

  如果是用环境变量GOOGLE_APPLICATION_CREDENTIALS，要确保启动代码前这个变量已经正确指向密钥文件路径，比如终端执行：

  export GOOGLE_APPLICATION_CREDENTIALS="/path/to/service-account-key.json"
  node your-code.js
  

• 排查回调环节的客户端上下文
  错误出现在回调环节，要确认回调函数里使用的Storage客户端，是不是你初始化时带了凭据的那个实例。比如如果回调是HTTP请求的处理函数，有没有在每次请求时重新创建了未传入凭据的Storage对象？这种情况下就会默认用匿名凭据调用API。

• 验证凭据身份的IAM权限
  最后再确认下你用的凭据对应的身份（不管是用户账号还是服务账号），确实被授予了存储桶的storage.objects.get权限：

  1. 打开GCP控制台的存储桶IAM页面
  2. 搜索对应的账号（比如服务账号邮箱、你的GCP账号邮箱）
  3. 检查是否有「Storage Object Viewer」角色，或者包含storage.objects.get权限的自定义角色

另外可以在代码里加个日志，验证凭据是否加载成功，比如Node.js里可以打印：

console.log('当前使用的凭据身份:', storage.auth.client.email);

如果输出是空或者undefined，说明凭据完全没加载起来，得回到前面的步骤重新排查。

内容的提问来源于stack exchange，提问作者jdmdevdotnet