Firebase云函数访问Google Secret Manager时出现权限拒绝问题

问题原因 #

本地开发时用的是你个人的GCP项目凭据（通常带较高权限），但部署到Firebase后，云函数默认使用{project_name}@appspot.gserviceaccount.com这个服务账号运行，该账号没有被授予访问目标Secret的权限。

解决步骤 #

• 给服务账号添加Secret访问权限

  1. 打开Google Cloud控制台，进入Secret Manager服务，找到你要访问的some_token_name密钥
  2. 切换到「权限」标签页，点击「添加」
  3. 在「新成员」输入框中填入{project_name}@appspot.gserviceaccount.com
  4. 在「角色」下拉菜单中选择「Secret Manager > Secret Manager Secret Accessor」（这个角色包含secretmanager.versions.access所需权限）
  5. 点击「保存」完成权限配置

• 验证与重试

  1. 等待1-2分钟让权限同步（GCP权限生效可能有延迟）
  2. 重新部署你的Firebase云函数
  3. 测试函数调用，确认403错误是否消失

额外检查项 #

• 确认代码中拼接的secret路径projects/some_project_id/secrets/some_token_name/versions/latest完全正确，项目ID、密钥名称没有拼写错误
• 确认目标密钥已经创建过至少一个版本（latest版本存在）
• 确保云函数和Secret Manager属于同一个GCP项目

内容的提问来源于stack exchange，提问作者Kai Wei