Firebase Functions v2 onCall鉴权矛盾：日志VALID却返回401

问题背景 #

使用Firebase Callable Functions v2（Node.js 20运行时）时，React前端调用任意onCall函数均返回401错误，但云函数日志明确显示认证令牌验证通过（auth: "VALID"），且前端已确认用户处于登录状态。

环境信息 #

• 前端：React（Vite构建），Firebase JS SDK v9+，部署于Firebase Hosting
• 后端：Firebase Cloud Functions v2，Node.js 20运行时（firebase-functions v6.3.2、firebase-admin v13.2.0）
• 认证方式：Firebase Authentication（邮箱/密码）

已确认排查项 #

• 前端用户已登录，auth.currentUser有效
• 调用前强制令牌刷新（getIdTokenResult(true)）成功
• 云函数IAM权限已设为允许未认证访问（allUsers→Cloud Functions Invoker）
• 已启用GCP相关API（Identity Toolkit API等）
• 未启用App Check
• 默认IAM服务代理角色正确
• 测试极简helloWorld函数仍失败
• 客户端时钟已同步

针对性修复步骤 #

1. 显式配置v2函数的调用权限
   Firebase Functions v2默认强制认证校验，优先级高于IAM权限。必须在函数代码中显式设置invoker参数，否则即使IAM开放未认证访问，函数仍会拦截请求：

   const { onCall } = require('firebase-functions/v2/https');
   
   exports.helloWorld = onCall({ invoker: 'public' }, (request) => {
     return { message: `Hello, ${request.auth?.uid || 'guest'}!` };
   });
   

   若仅允许认证用户访问，可设置invoker: 'private'。

2. 手动传递认证令牌到函数
   部分Vite构建项目可能存在请求头丢失问题，手动携带令牌确保认证信息正确传递：

   import { httpsCallable } from 'firebase/functions';
   import { getAuth } from 'firebase/auth';
   
   const auth = getAuth();
   const token = await auth.currentUser.getIdToken(true);
   const callHelloWorld = httpsCallable(functions, 'helloWorld');
   const result = await callHelloWorld({}, { 
     headers: { Authorization: `Bearer ${token}` } 
   });
   

3. 检查Admin SDK初始化方式
   确保云函数中Firebase Admin SDK正确初始化，v2版本无需手动传入配置参数，自动读取环境变量：

   const { initializeApp } = require('firebase-admin/app');
   initializeApp(); // 无参数初始化
   

   错误的初始化会导致request.auth无法正确解析为用户信息。

4. 验证Hosting重写规则
   若前端部署在Firebase Hosting，检查firebase.json的重写规则是否正确指向云函数，避免请求路由错误：

   {
     "hosting": {
       "rewrites": [
         {
           "source": "/helloWorld",
           "function": "helloWorld"
         }
       ]
     }
   }
   

   错误的重写规则会导致请求未到达正确的函数端点，触发无关的认证校验。

5. 清除浏览器Auth缓存
   手动清除浏览器的Firebase Auth缓存，重新登录后测试，排除旧令牌或缓存数据的干扰。

内容的提问来源于stack exchange，提问作者Mars M