迁移至第二代Cloud Functions后Callable函数出现Firebase未认证错误

核心方案：通过IAM条件权限限制仅Firebase Auth用户访问 #

不需要硬编码校验令牌，也无需开放allUsers权限，利用GCP IAM的条件权限即可实现精准控制：

1. 打开GCP控制台，进入目标二代Cloud Function的「权限」页面
2. 点击「添加权限」，在「新主体」输入框填写 allAuthenticatedUsers
3. 为其分配「Cloud Functions > Cloud Functions Invoker」角色
4. 添加条件规则，筛选仅Firebase Auth认证用户：
   • 条件类型选「属性」
   • 属性路径填 request.auth.token.firebase.sign_in_provider
   • 运算符选「存在」
     这个条件会确保只有携带Firebase Auth标识令牌的用户才能调用函数，排除其他GCP认证用户。

客户端代码无需修改，确保用户已登录 #

你的Flutter客户端代码无需调整，只要保证调用函数前用户已通过Firebase Auth完成登录（FirebaseAuth.instance.currentUser 不为null），cloud_functions库会自动将用户的ID Token作为请求凭证发送，GCP IAM会自动完成令牌校验。

Identity Platform相关疑问解答 #

• 无需停用Firebase Authentication：Firebase Auth是Identity Platform的轻量化前端实现，两者共享用户数据池，完全兼容。你可以继续使用Firebase Auth的Flutter库处理登录流程，同时利用Identity Platform的高级功能（如多身份提供商、自定义用户属性等）。
• 无需切换到GCP原生库：Firebase的客户端库已经与Identity Platform深度集成，使用起来更便捷，完全能满足你的认证需求，没必要替换为GCP直接面向的库。

内容的提问来源于stack exchange，提问作者Aleix Rué