如何在Firebase Cloud Function的onRequest中获取客户端SSL证书详情？

问题本质 #

Firebase Cloud Functions的HTTPS函数运行在Google托管的负载均衡之后，客户端与服务端的SSL连接是在负载层终止的。到达云函数的请求已经是明文HTTP，因此req.socket是普通的net.Socket实例，而非tls.TLSSocket，自然不存在getPeerCertificate()方法——这就是你调用该方法时报错的核心原因。

为什么你的尝试无效 #

1. 第一个代码示例中，除了console拼写错误外，核心问题是req.socket并非TLS socket，根本没有该方法。
2. 第二个代码示例手动将req.socket封装为TLSSocket完全无效：因为原始socket已经完成了与负载层的非TLS连接，此时再初始化TLS握手没有意义，requestCert: true参数也无法触发客户端证书请求。

可行方案 #

Firebase Cloud Functions本身没有内置直接获取客户端SSL证书的能力，因为TLS握手在负载层就已终止。你可以通过以下思路实现需求：

1. 自定义域名+负载均衡配置 #

将云函数绑定到自定义域名，通过Google Cloud Load Balancer配置客户端证书强制认证。负载均衡会完成客户端证书验证，并将证书的相关信息通过特定请求头（如X-Forwarded-Client-Cert）传递给云函数。

• 注意：需在云函数的CORS配置中允许接收这些自定义请求头，同时要在代码中验证请求头的真实性，防止伪造。

2. 改用Cloud Run部署 #

如果必须依赖客户端证书认证，建议将服务部署到Cloud Run。Cloud Run支持配置负载均衡要求客户端证书，并且可以直接获取到证书相关的请求头信息，更适配这类场景。

替代身份验证方案（非证书型） #

如果只是需要验证请求来源，可改用更适配云函数的方式：

• API密钥验证
• OAuth2身份认证
• Firebase Auth的ID令牌验证

内容的提问来源于stack exchange，提问作者galki