为Firebase Cloud Function配置指定Firebase服务账号的最佳实践

核心方案：为函数绑定自定义服务账号 #

默认计算服务账号权限受限，最直接的解决方式是给你的Cloud Function指定一个拥有所需权限的自定义服务账号，步骤如下：

• 在GCP IAM控制台创建新的服务账号，给它分配Firebase Admin SDK所需的权限（比如Firebase Admin SDK Administrator Service Agent、对应Firestore/Storage等资源的读写权限）
• 部署函数时通过命令行指定服务账号：
  使用Firebase CLI部署时，添加--service-account参数，示例：

  firebase deploy --only functions:yourFunctionName --service-account your-custom-service-account@your-project.iam.gserviceaccount.com
  

• 如果是已部署的函数，可在GCP Cloud Functions控制台找到该函数，进入「详情」→「权限」→「更改服务账号」，选择你创建的自定义账号保存即可

权限最小化原则 #

不要给自定义服务账号分配过宽的权限，只赋予它完成函数任务必需的权限：

• 比如函数只需要读取Firestore特定集合，就只分配Cloud Datastore Viewer权限而非管理员权限
• 定期审计服务账号的权限，移除不再需要的权限

本地开发调试注意事项 #

本地运行函数时，可通过设置环境变量指定服务账号密钥文件：

export GOOGLE_APPLICATION_CREDENTIALS="/path/to/your-service-account-key.json"

这样本地运行的函数会使用指定的服务账号身份，和线上环境保持一致，避免权限差异问题

内容的提问来源于stack exchange，提问作者ctrl freak