使用邮箱密码登录调用Firebase Cloud Function返回UNAUTHENTICATED求助

云原生阿岚

2026-7-6

核心问题解答

1. 函数是否应该设为公开？

绝对不应该。生产环境下给allUsers添加Cloud Functions Invoker角色等同于完全开放权限，任何知道函数URL的外部请求都能调用，会引发数据泄露、恶意滥用、资源浪费等风险。这个操作仅适合本地/测试阶段快速验证，正式环境必须严格管控权限。

2. Cloud Functions的HTTPS认证是否仅适用于谷歌账号？

分两种场景：

若使用Firebase Callable函数（通过Firebase CLI部署、用functions.https.onCall定义）：认证基于Firebase Auth，支持所有兼容的登录方式——包括邮箱密码、OIDC、Facebook/Apple等第三方登录，并非仅限谷歌账号。
若使用普通GCP Cloud Functions HTTPS函数（GCP控制台创建、用functions.https.onRequest定义）：当在IAM中设置「需要认证」时，默认要求调用者提供GCP体系的身份凭证（如GCP服务账号Token、谷歌账号OAuth2 Token），此时Firebase Auth的ID Token不会被自动识别。但你可以手动在函数代码中验证Firebase Auth Token，以此兼容其他登录方式。

3. 是否需要在函数代码内自行实现认证？

用Firebase Callable函数：不需要。Callable函数的SDK会自动在请求中附带当前登录用户的ID Token，函数端会自动验证Token有效性，你可直接通过context.auth获取用户信息。
用普通GCP HTTPS函数：需要。如果要兼容Firebase Auth用户（包括OIDC登录用户），需在函数代码中手动调用Firebase Admin SDK的verifyIdToken方法，验证请求头中的Token。

解决当前报错问题

你当前登录后调用报UNAUTHENTICATED、未登录报PERMISSION_DENIED，大概率是因为部署的是普通GCP HTTPS函数而非Firebase Callable函数，且在IAM中设置了「需要认证」。这种情况下，Firebase Auth的Token不被GCP的IAM认证认可，因此即使登录也无法通过验证。

修复方案二选一：

方案1：改用Firebase Callable函数

用Firebase CLI重新部署函数，代码定义为Callable类型：

// 函数端示例（Node.js）
const functions = require("firebase-functions");

exports.helloWorld = functions.region('europe-west3').https.onCall((data, context) => {
  // 自动验证Token，未登录会直接返回错误
  if (!context.auth) {
    throw new functions.https.HttpsError('unauthenticated', '用户未登录');
  }
  return { message: `Hello, ${context.auth.uid}` };
});

Flutter端调用代码保持现有写法即可，Callable SDK会自动附带当前用户的Token，无需额外处理。

方案2：在普通HTTPS函数中手动验证Firebase Auth Token

若坚持使用普通HTTPS函数，需在函数代码中添加Token验证逻辑：

// 函数端示例（Node.js）
const functions = require("firebase-functions");
const admin = require('firebase-admin');
admin.initializeApp();

exports.helloWorld = functions.region('europe-west3').https.onRequest(async (req, res) => {
  // 从请求头获取ID Token
  const idToken = req.headers.authorization?.split('Bearer ')[1];
  if (!idToken) {
    return res.status(403).send('PERMISSION_DENIED');
  }

  try {
    // 验证Token
    const decodedToken = await admin.auth().verifyIdToken(idToken);
    const uid = decodedToken.uid;
    res.status(200).send(`Hello, ${uid}`);
  } catch (error) {
    return res.status(401).send('UNAUTHENTICATED');
  }
});

Flutter端调用时需手动将Token添加到请求头：

final user = FirebaseAuth.instance.currentUser;
final idToken = await user?.getIdToken();
HttpsCallable callable = FirebaseFunctions.instanceFor(region: 'europe-west3').httpsCallable(func);
final response = await callable.call(
  options: HttpsCallableOptions(
    headers: {
      'Authorization': 'Bearer $idToken',
    },
  ),
);

内容的提问来源于stack exchange，提问作者Alex Kiwi