Firebase云函数Authorization头传ID Token返回401未授权问题求助

核心问题分析 #

你遇到的401错误本质是两点：

• 云函数的IAM认证拦截了请求，Firebase Auth生成的ID Token对应用户默认没有云函数调用权限
• 后端代码完全未对传入的ID Token做验证，GCP无法识别该Token对应的合法身份

分步解决方案 #

1. 后端添加ID Token验证逻辑 #

必须在Python云函数中用Firebase Admin SDK验证前端传入的ID Token，确认用户身份合法后再处理请求。

步骤1：安装依赖

在云函数目录下执行：

pip install firebase-admin

步骤2：修改云函数代码（main.py）

添加Token验证逻辑，完整示例：

import firebase_admin
from firebase_admin import auth, credentials
from flask import jsonify
import functions_framework as https_fn

# 初始化Firebase Admin SDK（仅初始化一次）
cred = credentials.ApplicationDefault()
firebase_admin.initialize_app(cred)

@https_fn.on_request()
def functionName(req: https_fn.Request) -> https_fn.Response:
    # 处理OPTIONS预检请求
    if req.method == 'OPTIONS':
        headers = {
            'Access-Control-Allow-Origin': 'https://example.web.app', 
            'Access-Control-Allow-Methods': 'POST, GET, OPTIONS', 
            'Access-Control-Allow-Headers': 'Content-Type, Authorization',  # 新增Authorization头支持
            'Access-Control-Max-Age': '3600',
        }
        return ('', 204, headers)
    
    headers = {
        'Access-Control-Allow-Origin': 'https://example.web.app',
    }

    try:
        # 1. 提取并验证ID Token
        auth_header = req.headers.get('Authorization')
        if not auth_header or not auth_header.startswith('Bearer '):
            return ('未提供有效认证信息', 401, headers)
        
        id_token = auth_header.split('Bearer ')[1]
        # 自动验证Token的签名、过期时间、受众等合法性
        decoded_token = auth.verify_id_token(id_token)
        uid = decoded_token['uid']  # 获取用户唯一ID，可用于后续业务逻辑

        # 2. 处理业务请求
        data = req.json
        response_data = {'message': '请求成功', 'user_id': uid}
        return (jsonify(response_data), 200, headers)
    
    except auth.InvalidIdTokenError:
        return ('无效的ID Token', 401, headers)
    except auth.ExpiredIdTokenError:
        return ('ID Token已过期', 401, headers)
    except Exception as e:
        print(f"处理请求出错: {e}")
        return ("处理请求时发生错误", 400, headers)

2. 修正云函数IAM权限配置 #

• 移除allUsers的Cloud Function Invoker权限（避免公开访问风险）
• 保持云函数IAM默认配置即可，因为后端已通过Token验证控制访问，无需依赖IAM直接授权单个用户

3. 前端请求的注意事项 #

• 确保请求URL是云函数的完整公网地址，比如https://us-central1-your-project-id.cloudfunctions.net/functionName，不要用相对路径/functionName（除非配置了反向代理）
• 你的现有前端Token获取逻辑是正确的：user.getIdToken(true)强制刷新Token，避免使用过期Token

为什么测试终端的Token有效？ #

测试终端获取的是GCP服务账号的Token，该账号默认拥有云函数调用权限，能通过IAM校验，但这不是面向普通用户的正确认证方式。

内容的提问来源于stack exchange，提问作者Felix T