Google Cloud IAP（App Engine）：多浏览器及curl出现异常行为

针对你在Chrome（桌面端及移动端）、Firefox（桌面端及移动端）、Safari（桌面端）和curl（桌面端）中遇到的IAP搭配App Engine静态站点的异常行为，结合你提供的部署配置，我整理了以下排查和解决思路：

先确认你的部署配置（已整理） #

app.yaml 配置：

runtime: python27
api_version: 1
threadsafe: true
handlers:
- url: /(.*)
  static_files: index.html
  upload: index.html
  secure: always

index.html 内容：

<html> <body> Hello World! </body> </html>

分客户端的排查方向 #

1. 浏览器端（桌面+移动）异常

不同浏览器对IAP认证流程中的重定向、Cookie存储的处理存在差异，尤其是移动端隐私模式或浏览器安全策略可能会干扰认证：

• 打开浏览器开发者工具（Network面板），追踪IAP认证时的重定向请求，查看是否有302跳转失败、403/401错误，重点检查响应头中的Set-Cookie是否成功写入（比如GCP_IAP_AUTH_TOKEN）。
• Safari桌面端需要特别注意“阻止跨站跟踪”设置，这会影响IAP的Cookie跨域传递，尝试临时关闭该设置后再测试。
• 移动端浏览器可能存在缓存旧认证状态的问题，尝试清除浏览器缓存和Cookie后重新发起请求。

2. curl 命令行异常

curl默认不会处理浏览器式的重定向和Cookie存储，所以需要手动处理认证：

• 如果你已经通过浏览器完成认证，可以从浏览器开发者工具中复制GCP_IAP_AUTH_TOKENCookie，用以下命令测试：

  curl --cookie "GCP_IAP_AUTH_TOKEN=<你的令牌值>" https://<你的App Engine域名>
  

• 或者使用gcloud生成身份令牌，通过Bearer认证访问：

  TOKEN=$(gcloud auth print-identity-token)
  curl -H "Authorization: Bearer $TOKEN" https://<你的App Engine域名>
  

3. 通用配置优化

为了统一各客户端的行为，建议调整App Engine配置：

• 在handlers中添加login: required，明确要求所有请求必须经过IAP认证，避免静态文件服务绕过IAP的情况：

  handlers:
  - url: /(.*)
    static_files: index.html
    upload: index.html
    secure: always
    login: required
  

• 检查云控制台中IAP的授权设置，确认当前测试用户/服务账号已被添加到IAP的访问列表中，且没有设置过于严格的IP限制。

内容的提问来源于stack exchange，提问作者Erik Živković