如何在.NET Core中调用GCP Gen2 Cloud Function并生成account2 JWT令牌

前提准备 #

• 已下载account2的服务账号密钥JSON文件，将其放置在.NET Core项目目录下，建议设置为复制到输出目录。
• 安装必要的NuGet包：Google.Apis.Auth

生成JWT令牌的代码实现 #

通过Google官方Auth库生成针对Cloud Function的JWT令牌，核心是指定正确的受众（Cloud Function的完整URL）和签名凭据：

using Google.Apis.Auth.OAuth2;
using System;
using System.Threading.Tasks;

public class GcpJwtGenerator
{
    private readonly string _serviceAccountKeyPath;
    private readonly string _cloudFunctionUrl;

    public GcpJwtGenerator(string serviceAccountKeyPath, string cloudFunctionUrl)
    {
        _serviceAccountKeyPath = serviceAccountKeyPath;
        _cloudFunctionUrl = cloudFunctionUrl;
    }

    public async Task<string> GenerateJwtTokenAsync()
    {
        // 加载服务账号密钥文件
        var credential = GoogleCredential.FromFile(_serviceAccountKeyPath);
        
        // 配置JWT核心参数
        var jwtParams = new JsonWebTokenParameters
        {
            // 受众必须是Cloud Function的完整URL，不能带额外路径/参数
            Audience = _cloudFunctionUrl,
            // 令牌有效期设为1小时（GCP建议不超过此时长）
            ExpirationTime = DateTime.UtcNow.AddHours(1),
            // 签发者为服务账号邮箱
            Issuer = credential.ServiceAccountEmail,
            // 使用服务账号密钥进行签名
            SigningCredential = credential.CreateScoped().UnderlyingCredential as ServiceAccountCredential
        };

        // 生成并返回JWT令牌
        return await JsonWebTokenHandler.Default.CreateTokenAsync(jwtParams);
    }
}

调用Cloud Function时携带令牌 #

生成令牌后，在HTTP请求的Authorization头中以Bearer方案传递：

using System.Net.Http;
using System.Net.Http.Headers;
using System.Threading.Tasks;

public class CloudFunctionClient
{
    private readonly HttpClient _httpClient;
    private readonly GcpJwtGenerator _jwtGenerator;

    public CloudFunctionClient(HttpClient httpClient, GcpJwtGenerator jwtGenerator)
    {
        _httpClient = httpClient;
        _jwtGenerator = jwtGenerator;
    }

    public async Task<string> InvokeFunctionAsync()
    {
        var token = await _jwtGenerator.GenerateJwtTokenAsync();
        
        var request = new HttpRequestMessage(HttpMethod.Post, _jwtGenerator._cloudFunctionUrl);
        // 添加Authorization头
        request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", token);
        
        // 如需传递请求体，添加以下代码（根据函数需求调整）
        // request.Content = new StringContent("{\"data\": \"test\"}", System.Text.Encoding.UTF8, "application/json");
        
        var response = await _httpClient.SendAsync(request);
        response.EnsureSuccessStatusCode();
        
        return await response.Content.ReadAsStringAsync();
    }
}

关键注意事项 #

• 受众准确性：必须使用Cloud Function的完整URL（例如https://us-central1-your-project.cloudfunctions.net/your-function），任何拼写错误或额外参数都会导致令牌验证失败。
• 密钥安全：不要将服务账号密钥文件提交到版本控制，建议通过环境变量或配置中心加载文件路径。
• 令牌有效期：避免设置超过1小时的有效期，可在每次调用前生成新令牌，或缓存即将过期的令牌以提升性能。
• 权限验证：确认account2已被授予roles/cloudfunctions.invoker权限，且该权限绑定到目标Cloud Function（遵循最小权限原则）。

内容的提问来源于stack exchange，提问作者Hrishikesh