1. gemini cli 403 PERMISSION_DENIED 到底卡在哪你敲下gemini回车终端立刻甩出一坨 JSON核心就三行code: 403、reason: forbidden、status: PERMISSION_DENIED。很多人第一反应是重装 CLI、换账号、清缓存折腾一圈发现报错一字不差。这个错跟 CLI 本身没关系它是 Google 后端在鉴权阶段就把你拦下来了CLI 只是把服务端返回的原始错误原样打印出来。gemini cli是 Google 官方出的命令行 AI 编程工具能在终端里读代码、改文件、跑命令适合习惯命令行工作流的开发者。它启动时要先确定两件事用哪个 Google Cloud 项目GOOGLE_CLOUD_PROJECT以及用哪套凭据去换 token。这两条线任何一条错位都会直接触发 403 PERMISSION_DENIED。典型触发场景有这么几类。第一类是GOOGLE_CLOUD_PROJECT压根没设CLI 回退到某个默认项目而那个项目没开对应 API。第二类是变量设了但指向的项目和你当前登录账号不是同一个组织或者项目里 Gemini 相关服务被停用了。第三类是凭据来源混乱环境里同时存在GOOGLE_APPLICATION_CREDENTIALS指向的 service account 文件、gcloud auth的登录态、以及 CLI 自己缓存的 token三者互相打架最后用了一个没有权限的身份去请求。原文作者遇到的那条报错更具体大意是「你必须是组织 Gemini Code Assist Standard 订阅下的具名用户」。这其实是GOOGLE_CLOUD_PROJECT配错导致账号被划进付费计划、又没拿到 entitlement 的典型表现。他最后的解法是去控制台把带 gemini 名字的 API 服务全停掉、删项目、重建项目再启用 Gemini for Google Cloud API。这个办法能通但属于误打误撞换个人未必复现。真正稳的做法是把报错定位到具体哪一行配置而不是靠删项目碰运气。这篇就按「先查项目变量、再理凭据来源、最后用统一 Key 通道兜底」的顺序给你一份能逐条执行的排查清单。每一步都有可复制的命令和预期输出你照着跑403 要么消失要么被精确定位到某个变量或某个文件。2. 先把 GOOGLE_CLOUD_PROJECT 和凭据来源查清楚排查 403 的第一步不是改配置是看清楚当前环境到底在用什么。很多人以为自己设了变量其实设在了另一个 shell 会话里或者被.env文件覆盖了。2.1 打印当前项目变量和登录态在报错的那个终端里先跑这几条别换窗口# 看环境变量有没有设、设成了什么 echo GOOGLE_CLOUD_PROJECT$GOOGLE_CLOUD_PROJECT echo GOOGLE_APPLICATION_CREDENTIALS$GOOGLE_APPLICATION_CREDENTIALS echo GEMINI_API_KEY$GEMINI_API_KEY # 看 gcloud 当前认定的项目和账号 gcloud config get-value project gcloud config get-value account # 看当前有哪些登录身份 gcloud auth list预期结果是这样如果GOOGLE_CLOUD_PROJECT打印出来是空的那 403 基本就锁定在这了。如果它打印了一个项目 ID但gcloud config get-value project打印的是另一个说明 CLI 和 gcloud 用的不是同一个项目凭据来源已经错位。gcloud auth list里如果出现多个 ACTIVE 或者多个账号也要留意。CLI 取凭据的顺序和环境变量、gcloud 配置、CLI 自身缓存都有关多身份并存时很容易取到没权限的那个。2.2 确认项目里 Gemini 相关 API 的状态拿到项目 ID 后去确认这个项目有没有启用对应服务。命令行能查gcloud services list --enabled --project$GOOGLE_CLOUD_PROJECT | grep -i gemini如果这条命令返回空说明项目里根本没开 Gemini 相关 API403 是必然的。正常应该能看到类似cloudaicompanion.googleapis.com或generativelanguage.googleapis.com之类的条目。注意别去手动停用一堆带 gemini 名字的服务再重建项目那是原文里的碰运气操作容易把项目搞得更乱。先确认状态缺什么补什么。2.3 理清凭据来源的三条线Gemini CLI 拿凭据一般走三条路优先级从高到低大致是环境变量里的 API Key、GOOGLE_APPLICATION_CREDENTIALS指向的 service account、以及 gcloud 的用户登录态。三条线同时存在时最容易出问题。你可以这样判断当前走的是哪条# 如果这个有值CLI 很可能优先用它 echo $GEMINI_API_KEY # 如果这个有值说明有 service account 文件介入 ls -l $GOOGLE_APPLICATION_CREDENTIALS 2/dev/null # 看 gcloud 的 application default credentials 是谁 gcloud auth application-default print-access-token /dev/null 21 echo ADC 可用 || echo ADC 不可用如果GEMINI_API_KEY和GOOGLE_APPLICATION_CREDENTIALS同时有值建议先只保留一条把另一条临时 unset 掉再重跑看 403 是否变化。这一步能快速判断是不是凭据打架。3. 可复制的 settings.json 与 config.toml 骨架排查完环境接下来把配置固定下来。Gemini CLI 的配置分散在几个文件里写清楚能避免下次再踩。3.1 settings.json 骨架CLI 的用户级配置一般在~/.gemini/settings.jsonWindows 在%USERPROFILE%\.gemini\settings.json。一个干净的骨架长这样{ projectId: your-gcp-project-id, apiKey: , model: gemini-2.0-flash, authType: api-key, telemetry: false }几个字段说明projectId对应GOOGLE_CLOUD_PROJECT填错就是 403 的源头authType决定走哪条凭据线填api-key时 CLI 会优先读apiKey字段或GEMINI_API_KEY环境变量model按你实际能用的填别硬写一个没权限的型号。注意apiKey字段留空时CLI 会回退到环境变量。如果你打算用统一 Key 通道这里就留空靠环境变量注入避免把密钥写进文件被 git 带走。3.2 config.toml 骨架如果你用的是带 TOML 配置的版本或周边工具~/.config/gemini/config.toml可以这样写[default] project your-gcp-project-id model gemini-2.0-flash auth_type api-key [auth] # 留空则读环境变量 GEMINI_API_KEY api_key TOML 和 JSON 二选一即可别两个都写还填了不同的项目 ID那等于自己制造错配。3.3 用 TaoToken 统一 Key 通道兜底当 Google 侧的账号、项目、订阅状态一时半会理不清时最省事的做法是把凭据来源收敛到一个统一 Key 通道绕开GOOGLE_CLOUD_PROJECT和 gcloud 登录态的纠缠。TaoToken 提供的就是这样一个统一入口你只需要一个 Key不用再管项目变量和 service account 文件。接入时把 base URL 指向 TaoToken 的 API 地址Key 用你在控制台生成的export GEMINI_API_KEY你的 TaoToken Key export GEMINI_API_BASEhttps://taotoken.net/api然后在settings.json里把authType设为api-keyprojectId留空或删掉让 CLI 不再去读GOOGLE_CLOUD_PROJECT。这样 403 里跟项目错配相关的那一类就直接消失了。Key 的生成入口在控制台的 API Keys 页面模型对话可以在模型对话页先验证通道是否通长期跑编码任务或 Agent 的话可以看 Coding Plan。这几个入口分别是模型对话https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_contentmodel_chatutm_campaignrewriteCoding Planhttps://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding_planutm_campaignrewrite控制台https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_contentconsoleutm_campaignrewriteAPI Keyshttps://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi_keysutm_campaignrewrite接入文档https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite4. 逐条验证从最小请求到 403 消失配置改完不算完得逐条验证。下面这套动作按顺序跑每一步都有明确的成功标志。4.1 打印当前项目变量echo PROJECT$GOOGLE_CLOUD_PROJECT echo BASE$GEMINI_API_BASE echo KEY_PREFIX${GEMINI_API_KEY:0:8}成功标志如果你走统一 Key 通道PROJECT应该是空的BASE指向 TaoTokenKEY_PREFIX能打印出前 8 位。如果PROJECT还有值说明有别的配置在注入需要找到源头 unset 掉。4.2 切换凭据后重跑最小请求先用 curl 打一个最小请求确认通道本身是通的把 CLI 这层先排除掉curl -s -X POST $GEMINI_API_BASE/v1/chat/completions \ -H Authorization: Bearer $GEMINI_API_KEY \ -H Content-Type: application/json \ -d { model: gemini-2.0-flash, messages: [{role: user, content: ping}] } | head -c 500成功标志返回里能看到choices或正常的 JSON 内容而不是code: 403。如果这里就 403问题在 Key 或通道跟 CLI 配置无关先去控制台确认 Key 状态。curl 通了之后再跑 CLI 的最小请求gemini -p say hi成功标志终端直接输出模型回复不再打印那坨 PERMISSION_DENIED JSON。4.3 确认 403 消失并固化配置CLI 通了之后把环境变量写进 shell 启动文件避免下次开新窗口又丢# bash 用户 echo export GEMINI_API_KEY你的Key ~/.bashrc echo export GEMINI_API_BASEhttps://taotoken.net/api ~/.bashrc source ~/.bashrc # zsh 用户把 ~/.bashrc 换成 ~/.zshrcWindows PowerShell 用户[Environment]::SetEnvironmentVariable(GEMINI_API_KEY, 你的Key, User) [Environment]::SetEnvironmentVariable(GEMINI_API_BASE, https://taotoken.net/api, User)固化后重开一个终端再跑一次gemini -p say hi确认新会话里也正常。这一步能排掉「当前窗口能用、新窗口又 403」的坑。5. 本篇常见错排查下面这些是排查过程中高频出现的具体报错和对应动作按现象对号入座。5.1 报错里仍出现 GOOGLE_CLOUD_PROJECT 相关字样说明 CLI 还在读项目变量。检查顺序先echo $GOOGLE_CLOUD_PROJECT确认当前 shell 有没有再翻~/.gemini/settings.json里projectId字段是不是还留着值最后看~/.config/gemini/config.toml有没有project项。三处都清掉CLI 才会走纯 Key 通道。5.2 curl 通了但 gemini 命令还是 403大概率是 CLI 缓存了旧凭据。删掉缓存目录重试rm -rf ~/.gemini/cache rm -rf ~/.config/gemini/cacheWindows 下对应%USERPROFILE%\.gemini\cache。删完重跑CLI 会重新读环境变量。5.3 报错变成 401 或 invalid api key403 变 401 通常是 Key 本身的问题不是项目配置了。去控制台 API Keys 页面确认 Key 没被禁用、没超额度复制时别带多余空格或换行。用echo -n $GEMINI_API_KEY | wc -c看长度对不对。5.4 多账号环境下取错身份gcloud auth list有多个账号时CLI 可能取到没权限的那个。临时切到单一身份gcloud config set account 你的账号 gcloud auth application-default login或者干脆走统一 Key 通道把 gcloud 登录态这条线彻底绕开省得每次都要确认当前是哪个账号。5.5 改了配置但报错一字不变先确认你改的文件是不是 CLI 实际读的那个。不同版本读的路径不一样用gemini --help或看启动日志确认配置加载路径。另一个常见原因是改了文件但没重启终端环境变量还是旧的重开窗口再试。6. 把 403 定位到具体配置行而不是重装回到最开始那个问题gemini cli 403 PERMISSION_DENIED 之所以难搞是因为它把项目错配、凭据打架、订阅状态三种原因揉成同一个报错。你重装十遍 CLI 也没用因为问题根本不在 CLI。正确的顺序是先echo出GOOGLE_CLOUD_PROJECT和凭据相关变量把当前状态看清楚再确认项目里 Gemini API 的状态然后用 curl 打最小请求把通道和 CLI 两层分开验证最后用统一 Key 通道把凭据来源收敛成一条让GOOGLE_CLOUD_PROJECT彻底不参与鉴权。这套流程跑下来403 要么消失要么被压到某一个具体变量或某一行配置上你改那一行就行。如果你现在还在被这个错卡着建议先去 API Keys 页面生成一个 Key按第 3.3 节的片段接进去再跑第 4 节的验证动作。通道通了之后回头再慢慢理 Google 侧的项目和账号也不迟。