API Gateway调用Cloud Function遇403权限问题及URL合规性疑问求助

问题描述 #

• 已完成以下操作：
  1. 创建Cloud Function，直接访问其官方URL可正常返回"Hello World"及200状态码。
  2. 配置API Gateway使用如下OpenAPI文件：

# openapi2-functions.yaml
swagger: '2.0'
info:
  title: learning-words-trial
  description: Sample API on API Gateway with a Google Cloud Functions backend
  version: 1.0.0
schemes:
  - https
produces:
  - application/json
paths:
  /hello:
    get:
      summary: Greet a user
      operationId: hello
      x-google-backend:
        address: https://us-central1-xxx.cloudfunctions.net/httptest2
      responses:
        '200':
          description: A successful response
          schema:
            type: string

3. 已为API Gateway的服务账号配置调用该Cloud Function的权限。

• 问题现象：访问API Gateway的/hello路径时出现授权提示界面（未配置任何认证/安全规则，本应无需授权即可访问）；点击“允许”后重定向至Cloud Function旧URL，返回403错误：

Error: Forbidden
Your client does not have permission to get URL /httptest2 from this server.

• 尝试更新：将OpenAPI配置中的后端地址替换为Cloud Function控制台显示的https://httptest2-xxxxxxx-uc.a.run.app后，访问恢复正常，但不确定该方案是否合规，请求排查原因。

解决方案与分析 #

1. 新URL格式的合规性确认 #

使用*.a.run.app格式的URL完全合规，这是GCP官方为Cloud Functions（尤其是第二代函数）提供的标准访问端点，API Gateway官方支持将其作为后端地址配置，且该格式在权限适配、性能表现上均优于旧的cloudfunctions.net格式，属于官方推荐的配置方式。

2. 旧URL格式报错的核心原因 #

旧格式的cloudfunctions.net端点属于Cloud Functions第一代的经典HTTP端点，其身份验证逻辑与API Gateway的请求转发机制存在适配问题：

• 即便已为API Gateway服务账号授予roles/cloudfunctions.invoker角色，旧端点仍可能无法正确识别API Gateway转发请求中的身份凭证，导致403权限错误。
• 授权提示的出现是因为旧端点默认启用了Google身份验证跳转流程，而你的API Gateway未配置任何认证规则，因此触发了登录授权界面。

3. 若坚持使用旧URL的修复方案 #

如果需要继续使用旧格式端点，可在OpenAPI配置的x-google-backend节点中添加jwt_audience字段，明确指定Cloud Function的旧URL作为JWT受众，确保身份凭证被正确识别：

x-google-backend:
  address: https://us-central1-xxx.cloudfunctions.net/httptest2
  jwt_audience: https://us-central1-xxx.cloudfunctions.net/httptest2

内容的提问来源于stack exchange，提问作者Vololodymyr