树莓派使用Google Cloud Vision API跨网络遇令牌刷新错误求助

我之前也碰到过类似的跨网络OAuth令牌刷新问题，结合你的情况，给你几个可以排查的方向：

• 清理本地令牌缓存
  Google的客户端库会在本地缓存认证令牌，换网络后缓存的令牌可能因为环境变更失效。你可以删除树莓派上的缓存目录，强制重新认证：

  rm -rf ~/.config/gcloud/
  

  之后重新执行你初始化API的认证步骤，比如gcloud auth activate-service-account --key-file=your-key.json。

• 重新生成服务账号密钥
  部分网络的IP可能被谷歌的安全机制标记，导致旧的服务账号密钥无法正常刷新令牌。去Google Cloud控制台找到对应的服务账号，重新生成一个JSON格式的密钥文件，替换树莓派上的旧密钥，然后重新设置环境变量：

  export GOOGLE_APPLICATION_CREDENTIALS="/home/pi/new-service-account-key.json"
  

• 彻底校验NTP时间同步
  虽然你已经做了NTP同步，但可能存在时间偏差或时区错误：

  1. 执行date命令对比系统时间和实际标准时间，确保分秒完全一致；
  2. 用timedatectl检查时区设置，确认是你所在的正确时区（比如Asia/Shanghai）；
  3. 强制重新同步时间：

     sudo systemctl restart systemd-timesyncd
     # 或者用ntpd强制校准
     sudo ntpd -q -g
     

• 排查新网络的访问限制
  很多公共/企业网络会通过防火墙或代理拦截Google OAuth的刷新请求（目标地址是https://oauth2.googleapis.com/token）。你可以在新网络下执行以下命令测试连通性：

  curl -v https://oauth2.googleapis.com/token
  

  如果返回4xx/5xx错误，说明网络有拦截，需要联系网络管理员开放该地址的HTTPS访问，或者在代码中配置代理参数。

• 改用显式令牌生成逻辑
  如果自动刷新机制持续出问题，可以在代码中手动生成JWT令牌并获取访问令牌，避免依赖客户端库的缓存：

  import json
  import jwt
  import time
  import requests
  from google.cloud import vision
  from google.oauth2.credentials import Credentials
  
  # 加载服务账号密钥
  KEY_PATH = "/home/pi/your-service-key.json"
  with open(KEY_PATH, 'r') as f:
      key_data = json.load(f)
  
  def get_access_token():
      now = int(time.time())
      # 构造JWT payload，过期时间设为30分钟（比默认的60分钟更短，减少时间偏差影响）
      payload = {
          "iss": key_data["client_email"],
          "sub": key_data["client_email"],
          "aud": "https://oauth2.googleapis.com/token",
          "iat": now,
          "exp": now + 1800,
          "scope": "https://www.googleapis.com/auth/cloud-vision"
      }
      # 签名生成JWT
      signed_jwt = jwt.encode(payload, key_data["private_key"], algorithm="RS256")
      # 请求获取访问令牌
      response = requests.post(
          "https://oauth2.googleapis.com/token",
          data={
              "grant_type": "urn:ietf:params:oauth:grant-type:jwt-bearer",
              "assertion": signed_jwt
          }
      )
      response.raise_for_status()
      return response.json()["access_token"]
  
  # 使用手动获取的令牌创建Vision客户端
  access_token = get_access_token()
  credentials = Credentials(access_token)
  client = vision.ImageAnnotatorClient(credentials=credentials)
  

内容的提问来源于stack exchange，提问作者Tejas Hegde