尝试使用签名 URL 上传到 GCS 时出现 403“匿名调用者没有 storage.objects.get 访问权限”

Question

我正在尝试使用signed URLs 将文件直接从浏览器上传到 GCS。我正在从 App Engine 标准 PHP 应用程序生成一个 v4 签名 URL，这似乎工作正常。问题是当我尝试 PUT 到该 URL 时，我得到一个带有以下 XML 响应的 403：

<?xml version='1.0' encoding='UTF-8'?>
<Error>
  <Code>AccessDenied</Code>
  <Message>Access denied.</Message>
  <Details>Anonymous caller does not have storage.objects.create access to <bucket-name>/some-object.txt.</Details>
</Error>

我的应用引擎服务帐户有Service Account Token Creator，它允许创建 URL。

我已启用存储桶上的 CORS 以接受 PUT 到 *，这使我能够到达现在的位置。

我已从 v2 网址切换到 v4，因为 Go SDK 上的问题表明这是一个问题。

我正在使用 PHP Google Cloud 库生成签名 URL，如下所示：

$storage = new StorageClient();
$bucket = $storage->bucket('<bucket-name>');
$object = $bucket->object('some-object.txt');

$url = $object->signedUploadUrl(new \DateTime('tomorrow'), ['version' => 'v4']);

我尝试将服务帐户添加到存储桶的权限并添加Storage Object Admin、Storage Object Creator 等，但似乎没有什么能让我超过这个403（除了打开它到allUsers）。

在this文章中说

此外，在 Cloud Storage 中，您需要授予以下权限才能生成签名 URL。

• storage.buckets.get
• storage.objects.create
• storage.objects.delete

但我就是不知道他们需要添加到哪个角色。

在这一点上，我认为有两种可能性之一：

1. 签名的 URL 实际上不起作用，因为它应该作为服务帐户进行身份验证，而不是匿名的。在这种情况下，可能是什么原因造成的？
2. 签名 URL 作为某种类型的匿名角色进行身份验证，但该角色没有权限。在这种情况下，如何添加该角色的权限（allUsers 显然是错误的）？

---

已解决：

我的实现有很多问题：

1. 正如下面 Brandon 和 Charles 所建议的，signedUploadUrl 不适合直接使用 PUT。为了解决这个问题，我需要使用beginSignedUploadSession
2. 正如下面 John 所建议的，我需要在服务帐户用户上添加 Storage Object Creator。但是，这已添加到 GAE 默认服务帐户中，因为它是 Project Editor
3. Service Account Token Creator 需要显式添加到服务帐户，因为 Project Editor 似乎没有涵盖它。
4. 我使用 Twig 将 URL 嵌入到 Javascript 中使用 const url='{{ upload_url }}';，但是 Twig 自动 HTML 编码变量，因此破坏了 URL，相反，我需要使用 {{ upload_url|raw }}。这种损坏的格式是该消息包含Anonymous caller 的原因

Answer 1

signedUploadUrl 为 POST HTTP 方法创建一个 URL（请参阅https://github.com/googleapis/google-cloud-php/blob/master/Storage/src/StorageObject.php 处的库源代码）。您正在将该签名 URL 用于 PUT 请求，因此不允许该请求。错误消息并未将其显示为问题，但我认为这就是问题所在。

您可以研究如何通过 POST 上传文件，或者为 PUT 创建一个签名 URL。我已经在 Python 中完成了后者，但我没有看到使用这个库的方法。我不是 PHP 程序员，所以我可能会错过它。

或者您可以创建自己的代码来为 PUT 创建签名 URL，以库代码为例。签名 URL 很难完全正确，创建自己的代码可能会令人沮丧。它是用 Python 写给我的。