Node环境下Firebase Admin Auth验证失败：无权限访问Google证书URL

• 优先排查网络连通性
  报错核心是服务器/容器无法访问Google元数据服务地址https://www.googleapis.com/robot/v1/metadata/x509/securetoken@system.gserviceaccount.com。直接在Hetzner服务器上执行以下命令测试：

  curl -v https://www.googleapis.com/robot/v1/metadata/x509/securetoken@system.gserviceaccount.com
  

  如果返回403或超时，说明是网络限制导致：要么是Hetzner节点的出站规则限制，要么是服务器防火墙、安全组挡住了请求，需要开放对www.googleapis.com的HTTPS访问。

• 检查Caprover容器网络配置
  登录Caprover的容器内部，重复执行上面的curl命令，确认容器是否能正常访问该地址。如果容器内无法访问，需调整Caprover的网络策略：比如检查是否启用了自定义网络、容器出站流量是否被限制，确保允许容器对外发起HTTPS请求。

• 调整证书缓存路径
  Firebase Admin默认将验证证书缓存到临时目录，如果容器的临时目录无读写权限，会导致无法缓存证书，进而重复请求元数据服务。初始化Admin时手动指定可写的缓存目录：

  const admin = require('firebase-admin');
  const { CertificateCache } = require('firebase-admin/lib/auth/certificate-cache');
  
  const cacheDir = '/app/firebase-cert-cache'; // 确保容器对该目录有读写权限
  const certCache = new CertificateCache(cacheDir);
  
  admin.initializeApp({
    credential: admin.credential.applicationDefault(),
    auth: {
      certificateCache: certCache
    }
  });
  

• 确认服务账号权限（非核心排查项）
  登录Google Cloud控制台，找到对应项目的IAM页面，检查Firebase Admin使用的服务账号是否拥有Firebase Auth Token Verifier角色，或至少具备iam.serviceAccounts.signBlob权限。默认的firebase-adminsdk开头的服务账号通常自带该权限，这一步大概率不是问题根源。

• 临时应急方案：手动传入证书
  如果网络问题短期内无法解决，可以手动下载证书文件，验证时直接传入：

  1. 访问https://www.googleapis.com/robot/v1/metadata/x509/securetoken@system.gserviceaccount.com，将返回的JSON保存到项目中（比如firebase-certs.json）
  2. 验证时指定证书：

     const certs = require('./firebase-certs.json');
     admin.auth().verifyIdToken(idToken, { certs: certs });
     

  注意：证书会定期更新，此方案需要定时手动更新证书，仅作为临时应急使用。

内容的提问来源于stack exchange，提问作者Anton Ödman