配置CORS中间件后仍遭遇Firebase云函数CORS问题

核心问题定位 #

先看你给出的错误信息，请求地址是ext-moralis-auth-requestMessage，但你自定义的云函数是getSecretData——CORS错误根本不是来自你写的函数，而是Moralis Firebase扩展自带的ext-moralis-auth-requestMessage函数。你只给自定义函数加了CORS中间件，完全没处理扩展生成的函数的跨域配置。

具体修复步骤 #

1. 配置Moralis扩展的CORS允许列表 #

Moralis的Firebase扩展需要单独配置允许的跨域来源：

• 打开Firebase控制台，进入「扩展」页面，找到ext-moralis-auth扩展
• 编辑扩展配置，找到CORS allowed origins选项，填入你的前端域名（比如http://localhost:3000、https://your-app-domain.com，多个用逗号分隔）
• 保存配置，扩展会自动重新部署对应函数

2. 补全自定义云函数代码 #

你提供的getSecretData代码不完整，最后secretData对象未闭合，也没有返回响应，补全后才能正常工作：

import * as functions from 'firebase-functions';
import * as admin from 'firebase-admin';
import cors from 'cors';

admin.initializeApp();

const corsHandler = cors({ origin: true });

export const getSecretData = functions.https.onRequest((request, response) => {
  corsHandler(request, response, async (err: Error | null) => {
    if(err) {
      response.status(500).send('CORS failed: ' + err.message);
      return;
    }

    if (!request.headers.authorization || !request.headers.authorization.startsWith('Bearer ')) {
      response.status(403).send('Unauthorized');
      return;
    }

    let idToken: string;
    if (request.headers.authorization && request.headers.authorization.startsWith('Bearer ')) {
      idToken = request.headers.authorization.split('Bearer ')[1];
    } else {
      response.status(403).send('Unauthorized');
      return;
    }

    try {
      const decodedIdToken = await admin.auth().verifyIdToken(idToken);
      console.log('ID Token correctly decoded', decodedIdToken);
    } catch (error) {
      console.error('Error while verifying Firebase ID token:', error);
      response.status(403).send('Unauthorized');
      return;
    }

    // 补全对象定义并返回响应
    const secretData = {
      key: "value",
      anotherKey: "my secret"
    };
    response.status(200).json(secretData);
  });
});

3. 验证前端请求正确性 #

你的getSecretData前端请求逻辑没问题，但要确认：

• 自定义函数部署后，请求URL与Firebase控制台显示的一致
• 用户登录后获取的ID Token未过期，且验证逻辑正常

额外注意事项 #

• 本地测试时，用firebase emulators:start启动模拟器，模拟器会自动处理CORS，无需额外配置
• 如果扩展重新部署后仍报错，检查Firebase函数的触发器状态，确保ext-moralis-auth-requestMessage函数已正常部署

内容的提问来源于stack exchange，提问作者Martin Erlic