GCS跨域配置无效，报错"Anonymous caller无storage.objects.get访问权限"求助

看起来你搞混了IAM权限和CORS配置的作用——那个Anonymous caller does not have storage.objects.get access to错误，核心问题其实是权限不足，和CORS本身关系不大。我来给你捋清楚：

首先，你之前移除allUsers的读取权限后，浏览器发起的匿名请求（这是跨域请求的默认方式）自然就没法访问存储桶里的对象了，CORS只是控制浏览器是否允许跨域请求，前提是请求本身有访问权限。

下面是具体的修复步骤：

• 恢复必要的匿名读取权限
  既然你要让localhost:8080能跨域访问，就得给匿名请求开读取权限。别担心，CORS会帮你限制只有指定来源能发起跨域请求。执行这条命令添加权限：

  gsutil iam ch allUsers:objectViewer gs://myBucketName
  

  objectViewer角色刚好包含了storage.objects.get权限，比单独配置单个权限更规范。

• 确保CORS配置正确生效
  按照需求写好CORS规则文件（比如命名为cors-config.json），只允许localhost:8080的GET请求：

  [
    {
      "origin": ["http://localhost:8080"],
      "method": ["GET"],
      "responseHeader": ["Content-Type"],
      "maxAgeSeconds": 3600
    }
  ]
  

  然后用命令应用配置：

  gsutil cors set cors-config.json gs://myBucketName
  

• 验证配置是否正确
  分别用这两条命令检查IAM权限和CORS规则：

  # 查看IAM权限
  gsutil iam get gs://myBucketName
  # 查看CORS配置
  gsutil cors get gs://myBucketName
  

额外提醒两点：

1. 如果你的应用是用用户登录身份（比如OAuth）访问存储桶，那可以不用给allUsers权限，而是给对应用户/服务账号配置权限，但这时候要在CORS规则里加上"supportsCredentials": true，并且origin不能用通配符。
2. 测试的时候记得清浏览器缓存，或者在开发者工具里勾选「禁用缓存」，不然可能会读到旧的CORS响应。

内容的提问来源于stack exchange，提问作者John Balvin Arias