Flutter中Firebase ID Token调用Cloud Function遇401及解析错误

问题背景与代码 #

相关代码 #

User? user = FirebaseAuth.instance.currentUser;
if (user != null) {
  String? idToken = await user.getIdToken();
  print("Id - ${idToken}");

  try {
    // 构建请求URL
    String baseURL = "${ConstantValue.googlePlaceAPI}?input=pune&sessionToken=423432&apiKey=${ConstantValue.googleAPiKey}";

    Map<String, String> headers = {
      'Authorization': 'Bearer ${idToken}',  // 添加Firebase ID token
      'Content-Type': 'application/x-www-form-urlencoded'
    };

    // 发起请求
    var response = await http.get(
      Uri.parse(baseURL),
      headers: headers,
    );

    // 检查并打印响应
    var data = response.body.toString();
    print("$data this data from api");
    print("Status code: ${response.statusCode}");

    if (response.statusCode == 200) {
      print("数据获取成功");
    } else {
      throw Exception('加载数据失败');
    }
  } catch (e) {
    print("获取位置名称出错: ${e.toString()}");
  }
} else {
  print("用户未认证");
}

遇到的问题 #

1. Flutter应用请求时报错：

   ClientException: Failed to parse header value
   

2. Postman携带Firebase ID Token请求时返回：

   401 Unauthorized
   Your client does not have permission to the requested URL

3. 使用gcloud auth print-identity-token生成的测试令牌请求可正常运行。

已尝试操作 #

• 确认Firebase ID Token生成正确，且以Bearer {idToken}格式传递
• Cloud Function已配置Firebase Admin SDK用于令牌验证
• 为allAuthenticatedUsers授予Cloud Functions Invoker角色，仍返回401
• 执行命令配置Cloud Run权限：gcloud run services add-iam-policy-binding getGooglePlaceName --region="us-central1" --member="allAuthenticatedUsers" --role="roles/run.invoker"，但存在aud差异问题

疑问 #

1. 为何Firebase ID Token返回401，而gcloud令牌可正常使用？
2. 如何解决Flutter中的ClientException: Failed to parse header value错误？

解决方案 #

疑问1：Firebase ID Token返回401的原因及解决 #

核心原因是两种令牌的受众（aud字段）不匹配：

• gcloud生成的令牌，aud字段自动匹配Cloud Function/Cloud Run的服务URL，符合Google Cloud IAM的权限校验规则
• Firebase ID Token的aud字段默认是你的Firebase项目ID，而非Cloud Function的服务URL，IAM校验时会因aud不匹配直接返回401

解决方式二选一：

1. 手动用Firebase Admin SDK校验令牌（推荐）
   在Cloud Function中跳过IAM自动校验，直接用Firebase Admin SDK验证令牌合法性：

   // Cloud Function示例代码
   const admin = require('firebase-admin');
   admin.initializeApp();
   
   exports.getGooglePlaceName = async (req, res) => {
     const idToken = req.headers.authorization.split('Bearer ')[1];
     try {
       const decodedToken = await admin.auth().verifyIdToken(idToken);
       // 验证通过，执行业务逻辑
       res.status(200).send('合法请求');
     } catch (error) {
       res.status(401).send('无效令牌');
     }
   };
   

   这种方式无需依赖IAM的allAuthenticatedUsers权限配置，仅通过Firebase令牌校验身份。

2. 生成针对Cloud Function受众的Firebase令牌
   Flutter的getIdToken()方法不直接支持指定受众，需通过Firebase Auth自定义令牌或Google Identity Platform生成，操作较复杂，仅推荐在必须依赖IAM校验的场景使用。

疑问2：解决ClientException: Failed to parse header value错误 #

该错误通常是令牌包含非法字符、为空，或HTTP头格式不符合规范导致，按以下步骤排查：

1. 添加令牌非空校验
   获取令牌后先确认非空，避免传入无效值：

   String? idToken = await user.getIdToken();
   if (idToken == null || idToken.isEmpty) {
     print("获取ID Token失败");
     return;
   }
   

2. 清理令牌无效字符
   用trim()去除令牌首尾的空白或换行符：

   'Authorization': 'Bearer ${idToken.trim()}',
   

3. 升级HTTP包版本
   旧版http包可能存在头解析bug，升级到最新版本：
   修改pubspec.yaml：

   http: ^1.1.0
   

4. 调整Content-Type头
   GET请求通常不需要application/x-www-form-urlencoded头，可直接移除：

   Map<String, String> headers = {
     'Authorization': 'Bearer ${idToken.trim()}',
   };
   

内容的提问来源于stack exchange，提问作者Aniket Chavan