Firebase Python on_call云函数CORS配置无效问题求助

核心问题定位 #

Firebase的on_call（Callable）云函数是专为Firebase客户端SDK调用设计的，其CORS逻辑由Firebase自动管理，装饰器中配置的CorsOptions对这类函数通常不生效。如果直接用fetch/axios等普通HTTP请求调用其端点，必然会触发CORS错误。

解决方案分两种场景处理 #

场景1：改用Firebase Callable SDK调用

如果你的前端是基于Firebase开发的，直接用官方SDK调用函数，无需手动配置CORS，Firebase会自动处理跨域：

// 前端示例（Web SDK）
import { getFunctions, httpsCallable } from "firebase/functions";

const functions = getFunctions();
const someFunction = httpsCallable(functions, "some_function");

someFunction({ data: "your input" })
  .then((result) => {
    console.log(result.data);
  });

场景2：必须支持普通HTTP请求（如非Firebase前端）

放弃on_call，改用on_request创建普通HTTP函数，此时装饰器的CorsOptions才能正常生效：

from firebase_functions import https_fn
from firebase_functions.options import CorsOptions

@https_fn.on_request(region='europe-west3', cors=CorsOptions(
    cors_origins="https://my-domain.web.app", # 生产环境建议指定具体域名，避免用*
    cors_methods=["GET", "POST", "OPTIONS"],
    cors_headers=["Content-Type", "Authorization"]
))
def some_http_function(req: https_fn.Request) -> https_fn.Response:
    # 自动处理OPTIONS预请求
    if req.method == "OPTIONS":
        return https_fn.Response(status=204)
    # 处理业务逻辑
    return https_fn.Response(json={"result": "success"}, status=200)

临时 workaround（不推荐）：在on_call函数手动添加CORS头

如果一定要保留on_call函数，需要在函数内部手动注入CORS响应头，同时处理OPTIONS预请求：

from firebase_functions import https_fn

@https_fn.on_call(region='europe-west3')
def some_function(req: https_fn.CallableRequest) -> https_fn.HttpsCallableResult:
    # 处理OPTIONS预请求
    if req.method == "OPTIONS":
        res = https_fn.HttpsCallableResult(data={})
        res.headers["Access-Control-Allow-Origin"] = "https://my-domain.web.app"
        res.headers["Access-Control-Allow-Methods"] = "GET, POST, OPTIONS"
        res.headers["Access-Control-Allow-Headers"] = "Content-Type, Authorization"
        return res
    # 正常业务逻辑处理
    return https_fn.HttpsCallableResult(data={"message": "处理完成"})

额外排查步骤 #

1. 确认部署生效：用gcloud命令检查函数配置，确认CORS参数已正确部署：

   gcloud functions describe some_function --region europe-west3
   

   查看输出中的cors字段，验证origins、methods等配置是否和代码一致。
2. 清除浏览器缓存：浏览器可能缓存了旧的错误响应，用无痕模式或清除缓存后重新测试。

内容的提问来源于stack exchange，提问作者Georgios