GCP Cloud Function（Go）读取Firestore遇权限拒绝问题求助

核心权限问题排查 #

• 区分Firestore模式对应的IAM角色：如果你的Firestore是原生模式，需要给服务账号绑定Cloud Firestore User（roles/firestore.user）角色，而非Cloud Datastore User——后者仅适用于Datastore模式的Firestore，这是最常见的权限配置错误。
• 确认权限绑定范围：确保IAM角色是绑定在项目级别，而非仅绑定在Cloud Function资源上。Firestore的读取权限需要针对Firestore资源本身授权，仅给函数资源授权无效。
• 重新部署函数：修改服务账号权限或关联关系后，必须重新部署Cloud Function，否则函数会保留启动时加载的旧凭据，新权限不会生效。
• 验证项目ID一致性：检查代码中_projectId是否与Firestore所在的GCP项目ID完全一致，避免跨项目访问导致的权限问题。

代码优化建议 #

你的_setFirestoreClient函数返回结构体值而非指针，可能引发不必要的拷贝和资源管理问题，建议修改为返回指针：

func _setFirestoreClient(ctx context.Context) (*firestore.Client, error) {
    return firestore.NewClient(ctx, _projectId)
}

调用时调整为：

ctx := context.Background()
firestoreClient, err := _setFirestoreClient(ctx)
if err != nil {
    // 错误处理逻辑
    http.Error(w, fmt.Sprintf("Failed to init Firestore client: %v", err), http.StatusInternalServerError)
    return
}
defer firestoreClient.Close()

// 后续读取文档逻辑
data, err := firestoreClient.Collection("tokens").Doc(requestBody.ReceiverUserUid).Get(ctx)

官方文档参考 #

• Firestore IAM权限指南：明确原生模式与Datastore模式的权限角色差异，其中roles/firestore.user角色包含Firestore文档的读取、写入权限；roles/datastore.user仅适用于Datastore模式。
• Go语言Firestore客户端文档：包含客户端初始化、文档读取的标准实现，以及服务账号权限配置的最佳实践。

内容的提问来源于stack exchange，提问作者RusskiT