如何为调用后端API的Google Cloud Function配置安全身份验证？

固定密码验证的问题 #

你计划用'authorization': 'Bearer secretPassword'的方式确实是不良实践，核心问题包括：

• 硬编码或明文存储密码风险极高：不管是把密码写在函数代码里，还是存在环境变量中，一旦泄露（比如代码仓库泄露、权限配置不当），任何人都能调用你的API，完全失去访问控制的意义。
• 密码缺乏动态性：固定密码没有过期机制，一旦泄露只能手动更换，运维成本高，且更换期间可能出现服务中断。
• 无法区分调用主体：只能验证“知道密码”，但无法确认调用者确实是你的Firebase Blocking Function，存在被仿冒的可能。

更优解决方案 #

1. 使用Firebase服务账号生成短期ID Token验证 #

Firebase Cloud Functions默认会使用Google Cloud服务账号运行，你可以利用这个身份生成短期ID Token，后端通过验证Token来确认调用者身份：

• 在Cloud Function中，借助google-auth-library库获取服务账号的ID Token：

  const {GoogleAuth} = require('google-auth-library');
  const auth = new GoogleAuth();
  
  async function getServiceAccountToken() {
    const client = await auth.getIdTokenClient('https://your-backend-api.com');
    const token = await client.idTokenProvider.fetchIdToken('https://your-backend-api.com');
    return token;
  }
  
  // 在beforeCreate函数中调用API
  exports.beforeCreateUser = functions.auth.user().beforeCreate(async (user) => {
    const token = await getServiceAccountToken();
    await fetch('https://your-backend-api.com/users', {
      method: 'POST',
      headers: {
        'Authorization': `Bearer ${token}`,
        'Content-Type': 'application/json'
      },
      body: JSON.stringify({uid: user.uid, email: user.email})
    });
  });
  

• 后端验证Token时，检查以下关键信息：
  • Token的签发者（iss）必须是https://accounts.google.com
  • Token的受众（aud）必须是你的后端API的标识（比如你为后端配置的OAuth2客户端ID）
  • Token未过期，签名有效

2. 网络层面限制API访问（适用于Google Cloud生态内的后端） #

如果你的后端部署在Google Cloud（比如Cloud Run、Cloud Functions），可以通过VPC网络隔离来限制访问：

• 将Firebase Functions和后端服务放在同一个VPC网络中，禁止公网访问后端API
• 配置后端服务的访问控制，只允许VPC内的流量访问，或者只允许Firebase Functions的服务账号访问

3. 内部服务调用（同Google Cloud生态） #

如果后端也是Google Cloud Functions，可以直接使用内部调用方式，不需要额外身份验证：

// 直接调用同项目下的Cloud Function
const {getFunctions, httpsCallable} = require('firebase-admin/functions');
const functions = getFunctions();
const createUserInDB = httpsCallable(functions, 'createUserInDB');

exports.beforeCreateUser = functions.auth.user().beforeCreate(async (user) => {
  await createUserInDB({uid: user.uid, email: user.email});
});

这种方式依赖Google Cloud的内部信任体系，只有同项目内的授权服务才能调用，安全性更高。

内容的提问来源于stack exchange，提问作者nil