gcs 预签名 url 默认会暴露签名所用的服务账号邮箱，存在安全风险；java 官方客户端库暂不支持仅使用服务账号 id（而非完整邮箱）进行签名，需手动实现签名逻辑或贡献代码修复。
Google Cloud Storage（GCS）的预签名 URL 是一种无需公开密钥即可临时授权访问对象的安全机制。但默认情况下，使用 Storage.signUrl() 方法生成的 URL 会在签名中隐含服务账号的完整邮箱地址（如 my-service@project.iam.gserviceaccount.com），该信息会出现在 URL 的 X-Goog-Credential 参数中——这违反了最小权限与信息隐藏原则，可能被恶意用户用于账户枚举或内部架构探测。
遗憾的是，截至当前最新版 google-cloud-storage（v2.30+），官方 Java SDK 并未提供配置项来替换或截断 X-Goog-Credential 中的凭证标识。源码中 StorageImpl.signUrl() 方法硬编码使用了 serviceAccountEmail（见 L722），无法通过参数传入简化的服务账号 ID（如 my-service）。
✅ 正确解决方案：手动实现签名流程
遵循 GCS 手动签名规范，使用服务账号私钥（.json 密钥文件）构造符合要求的签名字符串，并显式控制 X-Goog-Credential 字段值：
import com.google.auth.oauth2.ServiceAccountCredentials;
import com.google.cloud.storage.Storage;
import com.google.cloud.storage.StorageOptions;
import com.google.common.io.BaseEncoding;
import java.net.URI;
import java.net.URLEncoder;
import java.nio.charset.StandardCharsets;
import java.security.Signature;
import java.time.Instant;
import java.time.temporal.ChronoUnit;
import java.util.*;
public class GCSPresignedUrlGenerator {
public static String generatePresignedUrl(
String bucketName,
String objectName,
String serviceAccountId, // 仅传入 ID，如 "my-service"
String region,
long expirationSeconds,
String privateKeyPath) throws Exception {
// 1. 加载私钥
ServiceAccountCredentials credentials =
ServiceAccountCredentials.fromStream(Files.newInputStream(Paths.get(privateKeyPath)));
// 2. 构建 canonical request（简化版，生产环境需严格按规范）
String method = "GET";
String encodedObjectName = URLEncoder.encode(objectName, StandardCharsets.UTF_8);
String resource = "/" + bucketName + "/" + encodedObjectName;
String host = bucketName + ".storage.googleapis.com";
Instant now = Instant.now();
String dateStamp = now.truncatedTo(ChronoUnit.DAYS).toString().replace("-", "");
String timeStamp = dateStamp + "T000000Z";
// 3. X-Goog-Credential = {service-account-id}@{project-id}.iam.gserviceaccount.com
// 注意：此处使用 serviceAccountId（如 "my-service"）而非 full email
String projectId = credentials.getProjectId();
String credentialScope = dateStamp + "/" + region + "/storage/goog4_request";
String credential = serviceAccountId + "@" + projectId + ".iam.gserviceaccount.com";
// 4. 构造 string-to-sign（关键：控制 credential 字段）
String stringToSign = String.format(
"GOOG4-RSA-SHA256\n%s\n%s\n%s\n%s",
timeStamp,
credentialScope,
BaseEncoding.base16().lowerCase().encode(
sha256Hash("GET\n/" + encodedObjectName + "\n\nhost:" + host + "\nx-goog-date:" + timeStamp + "\n\nhost;x-goog-date\n" + sha256Hash(""))),
BaseEncoding.base16().lowerCase().encode(sha256Hash(""))
);
// 5. 签名（使用私钥）
Signature signature = Signature.getInstance("SHA256withRSA");
signature.initSign(credentials.getPrivateKey());
signature.update(stringToSign.getBytes(StandardCharsets.UTF_8));
byte[] signedBytes = signature.sign();
// 6. 组装最终 URL
String signatureHex = BaseEncoding.base16().lowerCase().encode(signedBytes);
String url = String.format(
"https://%s/%s?X-Goog-Algorithm=GOOG4-RSA-SHA256&X-Goog-Credential=%s&X-Goog-Date=%s&X-Goog-Expires=%d&X-Goog-SignedHeaders=host&X-Goog-Signature=%s",
host, encodedObjectName, URLEncoder.encode(credential, StandardCharsets.UTF_8),
timeStamp, expirationSeconds, signatureHex
);
return url;
}
private static byte[] sha256Hash(String input) throws Exception {
return MessageDigest.getInstance("SHA-256").digest(input.getBytes(StandardCharsets.UTF_8));
}
}⚠️ 注意事项：
- 手动签名需严格遵循 GCS 签名规范，上述示例为简化版，生产环境务必校验 canonical headers、query string 排序、payload hash 等细节；
- 私钥文件（.json）必须妥善保管，禁止硬编码或提交至版本库；建议使用 Secret Manager 或 Workload Identity Federation；
- serviceAccountId 必须与服务账号实际 ID 一致（即 @ 前的部分），否则签名将被 GCS 拒绝；
- 若长期依赖此能力，可向 googleapis/java-storage 提交 Pull Request，扩展 SignUrlRequest 支持自定义 credential 字符串。
? 总结：虽然官方 SDK 尚未支持“隐藏服务账号邮箱”的签名方式，但通过手动实现签名流程，开发者可完全掌控 X-Goog-Credential 内容，兼顾安全性与合规性。这是目前最可控、最符合最小披露原则的实践方案。
立即学习“Java免费学习笔记（深入）”；
