iOS集成Firebase调用云函数遇401未授权问题排查求助

一、验证Firebase Auth Token有效性 #

• 用JWT解析工具对比两个Token（getIDTokenResult返回的和gcloud auth print-identity-token生成的）的核心字段：
  • aud（受众）：gcloud生成的Token受众通常是云函数HTTP触发URL，而Firebase Auth Token默认受众是你的Firebase项目ID。如果云函数验证逻辑硬要求aud等于云函数URL，需调整逻辑允许项目ID作为合法受众。
  • iss（签发者）：Firebase Auth Token的签发者是https://securetoken.google.com/[你的项目ID]，gcloud Token的签发者是https://accounts.google.com。若云函数只验证后者，需修改校验逻辑包含Firebase的签发地址。
  • exp（过期时间）：确认Token未过期（解析出的时间戳需晚于当前时间），即便使用了forcingRefresh: true也需排查。
• 用Firebase Admin SDK本地验证Token，这是最准确的方式。示例代码：

  const admin = require('firebase-admin');
  admin.initializeApp();
  
  async function verifyToken(token) {
    try {
      const decoded = await admin.auth().verifyIdToken(token);
      console.log('Token合法:', decoded);
    } catch (err) {
      console.error('Token验证失败:', err.message);
    }
  }
  // 替换为你的Firebase Auth Token
  verifyToken('your-firebase-token-here');
  

二、检查云函数权限与验证逻辑 #

• IAM权限配置：若云函数仅允许服务账号调用（gcloud Token属于服务账号身份），Firebase普通用户的Token会被拒绝。需给Firebase Authentication Users角色（roles/cloudfunctions.invoker）添加到云函数权限列表，允许已登录Firebase用户调用。
• 内部验证代码：确认云函数使用firebase-admin的verifyIdToken方法验证Token，而非手动解析JWT——手动解析容易遗漏iss、aud等关键字段校验。

三、排查iOS端Token获取与请求流程 #

• 确认用户登录状态：调用getIDTokenResult前，必须确保Auth.auth().currentUser不为nil，用户处于已登录状态，否则拿到的Token无效。
• 检查请求头格式：再次确认请求头为"Authorization": "Bearer " + token，Bearer后必须有一个空格，格式错误会直接导致验证失败。可打印完整请求头字符串核对。
• 确认Token完整性：打印getIDTokenResult返回的token字符串，和Postman中使用的内容对比，确保未被截断或添加多余字符（如换行、空格）。

四、核对项目配置一致性 #

• 确认iOS项目GoogleService-Info.plist中的PROJECT_ID和云函数所在Firebase项目ID完全一致，避免跨项目调用导致权限问题。
• 检查云函数部署区域，确保请求URL的区域和部署区域匹配（如部署在us-central1，请求URL需为https://us-central1-<project-id>.cloudfunctions.net/<function-name>）。

内容的提问来源于stack exchange，提问作者tharris