App Engine中Play应用调用GCS API无法获取默认凭据（报Compute Engine错误）

我帮你分析下这个问题哈，在GAE标准环境里调用GCS API遇到“无法获取应用默认凭据、提示查找Compute Engine”的错误，核心原因是GAE标准环境的凭据获取机制和Compute Engine不一样——默认的应用默认凭据（ADC）会优先尝试访问GCE的元数据服务器，但在GAE里这个路径走不通，得用GAE专属的身份凭据方式。

下面是具体的解决步骤：

1. 先确认服务账号权限 #

首先要确保你的GAE应用默认使用的服务账号（格式是你的项目ID@appspot.gserviceaccount.com）拥有GCS存储桶的写入权限：

• 打开Google Cloud控制台的IAM页面
• 找到这个服务账号，给它添加Storage Object Creator（只允许写入）或者Storage Admin（全权限，测试用）角色
• 保存权限设置，等几分钟让权限生效

2. 修改Storage客户端初始化代码 #

在Play 2.5.12里，不要直接用StorageOptions.getDefaultInstance()，而是显式使用GAE的应用身份服务来获取凭据。修改你的代码如下：

import com.google.cloud.GoogleCredentials;
import com.google.cloud.storage.Storage;
import com.google.cloud.storage.StorageOptions;
import com.google.appengine.api.appidentity.AppIdentityService;
import com.google.appengine.api.appidentity.AppIdentityServiceFactory;
import java.io.InputStream;
import java.util.logging.Logger;

public static String sendFileToBucket(InputStream fileStream, String fileName) throws IOException {
    Logger.info("GoogleStorage: sendFileToBucket: Starting...");
    
    // 获取GAE应用身份服务的凭据
    AppIdentityService appIdentity = AppIdentityServiceFactory.getAppIdentityService();
    // 请求GCS读写权限的令牌
    GoogleCredentials credentials = GoogleCredentials.create(
        appIdentity.getAccessToken(new String[]{"https://www.googleapis.com/auth/devstorage.read_write"})
    );
    
    // 用GAE凭据初始化Storage客户端
    Storage storage = StorageOptions.newBuilder()
        .setCredentials(credentials)
        .build()
        .getService();
    
    // 这里继续你的上传逻辑，比如创建BlobInfo、写入流等
    // BlobInfo blobInfo = BlobInfo.newBuilder(你的存储桶名, fileName).build();
    // storage.create(blobInfo, fileStream);
    
    Logger.info("GoogleStorage: sendFileToBucket: File uploaded successfully");
    return "上传成功的文件名或路径";
}

3. 检查依赖配置 #

确保你的build.sbt里引入了兼容Play 2.5.12的google-cloud-storage依赖，版本不要太新（避免依赖冲突），比如：

libraryDependencies += "com.google.cloud" % "google-cloud-storage" % "1.34.0"

同时要确保没有引入和GAE身份服务冲突的依赖，比如不要手动添加GCE相关的元数据依赖。

4. 避免本地测试的遗留配置 #

如果本地开发时你设置过GOOGLE_APPLICATION_CREDENTIALS环境变量指向本地凭据文件，部署到GAE后要确保代码里没有硬编码这个路径——GAE会自动提供服务账号凭据，不需要本地的JSON文件。

为什么会出现Compute Engine的错误？ #

默认的ADC查找凭据的顺序是：先找环境变量里的本地凭据文件，找不到就去访问GCE的元数据服务器（http://metadata.google.internal）。但GAE标准环境里这个元数据服务器的访问逻辑和GCE不同，所以就会抛出“找不到Compute Engine”的错误，用上面的方式显式指定GAE凭据就能绕开这个问题。

内容的提问来源于stack exchange，提问作者Dan