从Vercel Serverless Function安全访问Google Cloud Function的方案咨询

关于Axios调用的合理性 #

用Axios在Next.js API路由中调用GCF是完全可行且推荐的方案，Axios提供了简洁的HTTP请求封装，适合处理这类跨服务调用。不过你的示例代码存在变量重名问题：handler函数内的res会覆盖传入的响应对象，需要修改变量名避免冲突。

修正后的Next.js API基础代码：

// next.js pages/api/call-google-func.js
import axios from 'axios';

async function handler(req, res) {
  try {
    const url = process.env.GCF_FUNCTION_URL; // 用环境变量存储GCF地址
    const gcfRes = await axios.get(url);
    const resdata = gcfRes.data;
    res.status(200).json(resdata); // 推荐用json替代send，更符合API规范
  } catch(error) {
    res.status(error.response?.status || 400).json({ 
      message: error.message || '调用GCF失败' 
    });
  }
}

export default handler;

安全访问GCF：无需公开，用服务账号凭证认证 #

要避免GCF公开暴露，需通过Google服务账号生成认证令牌，在Vercel Serverless函数中携带令牌调用GCF，具体步骤如下：

1. 创建并配置Google服务账号 #

• 在GCP控制台创建服务账号，为其分配Cloud Functions Invoker角色（仅授予调用GCF的权限）。
• 下载该服务账号的JSON密钥文件（请勿提交至代码仓库）。

2. 在Vercel中配置环境变量 #

将以下内容添加到Vercel项目的环境变量中：

• GCF_FUNCTION_URL: 你的GCF的HTTPS地址
• GOOGLE_APPLICATION_CREDENTIALS_JSON: 服务账号JSON密钥的完整内容（直接粘贴整个JSON字符串）

3. 在Next.js API中生成认证令牌并调用GCF #

使用Google官方的google-auth-library生成ID令牌，携带令牌请求GCF：

首先安装依赖：

npm install google-auth-library

修改后的API路由代码：

// next.js pages/api/call-google-func.js
import axios from 'axios';
import { GoogleAuth } from 'google-auth-library';

async function handler(req, res) {
  try {
    const gcfUrl = process.env.GCF_FUNCTION_URL;
    const auth = new GoogleAuth({
      credentials: JSON.parse(process.env.GOOGLE_APPLICATION_CREDENTIALS_JSON)
    });
    const client = await auth.getIdTokenClient(gcfUrl);
    const token = await client.idTokenProvider.fetchIdToken(gcfUrl);

    // 携带令牌调用GCF
    const gcfRes = await axios.get(gcfUrl, {
      headers: {
        'Authorization': `Bearer ${token}`
      }
    });

    res.status(200).json(gcfRes.data);
  } catch(error) {
    res.status(error.response?.status || 500).json({ 
      message: error.message || '调用GCF失败' 
    });
  }
}

export default handler;

4. 配置GCF的访问控制 #

在GCP控制台的GCF详情页，进入权限设置：

• 移除allUsers等公开访问角色
• 仅保留你创建的服务账号（及必要内部账号）的Cloud Functions Invoker权限

额外优化建议 #

• 缓存认证令牌：ID令牌有效期通常为1小时，可在Vercel函数中缓存令牌，避免每次请求重复生成，提升性能。
• 敏感信息管理：使用Vercel的Secret功能存储服务账号密钥，比普通环境变量更强调安全性。
• 精细化错误处理：区分GCF返回的业务错误与本地请求错误，返回更精准的状态码和提示信息。

内容的提问来源于stack exchange，提问作者RmR