Google Cloud Run部署后前后端请求授权失败问题求助

你遇到的核心问题是Google Cloud Run服务间调用的IAM身份认证机制与当前实现不匹配：

• Cloud Run的服务间调用（前端SSR服务 → 后端Node.js服务）默认要求调用者（SSR服务）使用Google服务账号的身份令牌通过Cloud Run的IAM网关验证，而非直接传递前端的Firebase ID Token。
• 当前请求中，SSR服务调用后端时仅传递了用户的Firebase Token，但Cloud Run网关会先拦截请求，检查调用服务的身份是否拥有后端服务的roles/run.invoker权限，这就是请求在到达后端前就返回"未授权"的原因。

1. 为SSR服务的默认服务账号授予后端调用权限 #

Cloud Run服务默认使用[你的项目ID]-compute@developer.gserviceaccount.com作为服务账号，需要给该账号添加后端Cloud Run服务的调用权限：

• 打开GCP控制台，进入后端Cloud Run服务的权限页面
• 点击添加成员，输入SSR服务的默认服务账号邮箱
• 选择角色：Cloud Run > Cloud Run Invoker，保存设置

2. 修改SSR服务的后端调用逻辑，自动获取服务身份令牌 #

在Node.js的SSR服务中，使用Google官方的google-auth-library来获取针对后端服务的身份令牌，确保Cloud Run网关验证通过：
首先安装依赖：

npm install google-auth-library

然后修改路由代码：

const { GoogleAuth } = require('google-auth-library');
const auth = new GoogleAuth();

router.post('/api/example', async (req, res) => {
  const backendUrl = await getBackendUrl();
  
  // 获取针对后端服务的身份令牌客户端
  const client = await auth.getIdTokenClient(backendUrl);
  // 调用后端，同时保留前端传来的Firebase Token供后端二次验证
  const result = await client.request({
    url: `${backendUrl}/example`,
    method: 'POST',
    data: req.body,
    headers: {
      Authorization: req.headers.authorization
    }
  });

  res.send(result.data);
});

3. 后端验证逻辑保留（双重安全） #

后端的Firebase Token验证逻辑可以继续保留，此时请求会经过两层验证：

1. Cloud Run网关验证SSR服务的服务身份是否有权调用后端
2. 后端验证用户的Firebase Token是否合法

• 将后端设为公开：若操作正确，此设置应该能绕过IAM验证，但可能存在配置未生效（比如缓存）或操作失误（未勾选"允许未验证的调用者"），但公开服务存在安全风险，不推荐使用。
• 使用Identity Platform：Identity Platform用于用户身份认证，而Cloud Run服务间调用是服务身份认证，两者属于不同层级的验证，无法直接替代。
• 为服务账号授予Invoker权限：可能你授予权限的服务账号并非SSR服务实际使用的账号（比如SSR服务配置了自定义服务账号，但你给默认账号加了权限），需确认SSR服务的服务账号配置。

内容的提问来源于stack exchange，提问作者Tomerikoko