bug: Premature close on GCP with export blobs

快速结论：该报错发生在 Langfuse self-hosted 使用 GCP Cloud Storage 后端导出 traces（含媒体附件）时，调用 Google IAM 的 signBlob API 出现连接被提前关闭。优先检查网络/代理环境是否中断了出站请求，并确认是否已升级至包含重试机制的版本（PR #14637 已合入）。

问题场景

用户在 GKE（Google Kubernetes Engine）或 Google VM 上 self-host Langfuse（版本 v3.197.1），配置了 GCP Cloud Storage 作为导出后端，尝试导出包含图片等媒体附件的 traces 时触发。日志中持续出现 SigningError: Premature close，且同一命名空间、同一服务账号的其他服务可正常使用 signed blobs。

报错原文

SigningError: Invalid response body while trying to fetch https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/sa-xxxxx-xxxxx@xxxxxxx-xxxx-xxxxxx.iam.gserviceaccount.com:signBlob: Premature close
Error: Invalid response body while trying to fetch https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/sa-xxxxx-xxxxx@xxxxxxx-xxxx-xxxxxx.iam.gserviceaccount.com:signBlob: Premature close
    at Gaxios._request (/app/node_modules/.pnpm/gaxios@6.7.1/node_modules/gaxios/build/src/gaxios.js:149:19)
    at process.processTicksAndRejections (node:internal/process/task_queues:104:5)
    at async Compute.requestAsync (/app/node_modules/.pnpm/google-auth-library@9.15.1/node_modules/google-auth-library/build/src/auth/oauth2client.js:429:18)
    at async GoogleAuth.signBlob (/app/node_modules/.pnpm/google-auth-library@9.15.1/node_modules/google-auth-library/build/src/auth/googleauth.js:796:21)
    at async sign (/app/node_modules/.pnpm/@google-cloud+storage@7.19.0/node_modules/@google-cloud/storage/build/cjs/src/signer.js:229:35)

原因分析

报错来源于底层的 HTTP 客户端 gaxios 向 Google IAM Credentials API 发起 signBlob 请求时，连接被意外提前关闭（Premature close）。可能原因包括：

网络/代理中断：出站请求被中间代理、防火墙或负载均衡器提前关闭或超时。
资源耗尽：容器（Kubernetes）环境达到连接数限制，或 DNS 解析不稳定。
Node.js HTTP 客户端问题：用户尝试调整网络策略和代理设置后仍无法解决，高度怀疑是 Node.js 层面问题。
Langfuse 缺少重试机制：getSignedUrl / getSignedUploadUrl 路径没有重试，相邻的 deleteFiles 路径已使用了 backOff 重试。单次瞬态错误即导致整个导出流程失败。

注：原始 Issue 提交者最初认为是 Langfuse bug，但维护者指出错误源于 @google-cloud/storage → google-auth-library → gaxios 链路，可能不是 Langfuse 自身 bug，但 Langfuse 缺乏对 signed URL 生成的重试保护是一个可改善的薄弱点。

环境排查

确认 Langfuse 版本（已报告为 v3.197.1，后续已合入修复）。
确认部署环境：GKE 还是 Compute VM？是否位于同一命名空间？
确认 GCP 服务账号和 IAM 权限：服务账号是否有 iam.serviceAccounts.signBlob 权限。
检查 Node.js 版本及 gaxios 版本（报错中为 6.7.1）。
检查网络策略、代理配置、防火墙规则是否可能中断出站 HTTPS 请求到 iamcredentials.googleapis.com。
确认其他使用相同服务账号的服务是否正常工作，以判断是否为全局性问题。

解决步骤

升级 Langfuse 到包含重试修复的版本：维护者已合入 PR #14637，为 getSignedUrl / getSignedUploadUrl 添加了 backOff({ numOfAttempts: 3 }) 重试。请升级至包含该补丁的版本（v3.197.1 之后）。可优先尝试。
检查网络环境：确认容器或 VM 能够稳定访问 iamcredentials.googleapis.com，无代理或防火墙主动中断连接。
检查资源限制：确认 Kubernetes 的 pod 连接数限制（如 net.core.somaxconn）是否合理，DNS 是否正常工作。
客户端 HTTP 层调整：如果问题持续，可尝试调整 gaxios 或 Node.js 的 HTTP keep-alive / 超时配置，或升级 @google-cloud/storage 和 google-auth-library 到最新版本。

验证方法

升级至包含重试的版本后，重新触发一次包含媒体附件的 trace 导出操作。如果之前是临时网络抖动导致，重试机制会自动恢复，导出应成功完成。如果导出仍然失败，检查日志是否仍然出现 Premature close 报错，以及最终错误是否仍然传播（三次重试后仍失败则表示是持续性问题，需进一步排查网络）。