本文详解如何在 CircleCI 等 CI 环境中，安全、正确地将 Base64 解码后的 JSON 字符串服务账号凭证加载为 Google Auth 的 Credentials 对象，避免误用 from_service_account_file 导致的“文件名过长” OSError。
本文详解如何在 circleci 等 ci 环境中，安全、正确地将 base64 解码后的 json 字符串服务账号凭证加载为 google auth 的 `credentials` 对象，避免误用 `from_service_account_file` 导致的“文件名过长” oserror。
你在 CircleCI 中通过 base64 -di 解码了 Base64 编码的服务账号密钥（如 SERVICE_ACCOUNT），并将其存入环境变量 SERVICE_ACCOUNT_DECODED。该变量本身就是一个合法的 JSON 字符串（例如 {"type": "service_account", "project_id": "...", ...}），而非一个文件路径。但你调用了：
service_account_file = json.dumps(os.environ['SERVICE_ACCOUNT_DECODED']) credentials = service_account.Credentials.from_service_account_file(service_account_file, scopes=SCOPES)
这导致两个关键错误：
-
json.dumps()被误用：它将已为 JSON 字符串的SERVICE_ACCOUNT_DECODED再次序列化，生成类似""{\n \"type\": ...}""的双重转义字符串——这既不是有效文件路径，也不是合法 JSON 对象； -
方法选错：
from_service_account_file()期望传入的是磁盘上 JSON 文件的路径（如"./service-account.json"），而你传入的是一个超长、非法的字符串，系统尝试将其当作文件名打开，最终触发OSError: [Errno 36] File name too long。
✅ 正确做法是：直接解析 JSON 字符串，并使用 from_service_account_info() —— 这正是 Google Auth 官方推荐用于内存中凭证的接口。
以下是修复后的完整代码：
import json
import os
from google.oauth2 import service_account
# ✅ 正确：将环境变量中的 JSON 字符串解析为 Python 字典
service_account_info = json.loads(os.environ['SERVICE_ACCOUNT_DECODED'])
# ✅ 正确：使用 from_service_account_info() 加载内存中的凭证信息
credentials = service_account.Credentials.from_service_account_info(
service_account_info,
scopes=['https://www.googleapis.com/auth/drive.file'] # 替换为你的实际 scopes
)
⚠️ 注意事项：
-
不要对
SERVICE_ACCOUNT_DECODED再次json.dumps()或json.loads()多余调用：确保它确实是原始解码后的纯 JSON 字符串（可通过print(repr(os.environ['SERVICE_ACCOUNT_DECODED'][:100]))调试验证）； -
确保 Base64 解码无误：CircleCI 中
base64 -di在不同系统（Linux/macOS）行为一致，但若使用 Alpine（如circleci/python:3.8-node），应改用base64 -d -i或更兼容的base64 -d； -
敏感信息防护：
SERVICE_ACCOUNT_DECODED是明文 JSON，切勿打印或记录到日志中；CircleCI 默认会屏蔽含*_KEY、CREDENTIALS等关键词的环境变量输出，但仍建议在调试后移除print()； -
异常处理增强（生产推荐）：
try: service_account_info = json.loads(os.environ['SERVICE_ACCOUNT_DECODED']) except json.JSONDecodeError as e: raise ValueError("Invalid SERVICE_ACCOUNT_DECODED: not valid JSON") from e except KeyError: raise ValueError("Missing environment variable SERVICE_ACCOUNT_DECODED")
总结：当凭证以 JSON 字符串形式存在于内存（如环境变量）时，始终选用 from_service_account_info()；仅当凭证存储于本地文件时，才使用 from_service_account_file()。理解 info（字典）与 file（路径）的语义差异，是避免此类 OSError 的根本。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
