Firebase Cloud Task调用提示PERMISSION_DENIED(7)，配全权限仍失败

• 检查任务目标端点的权限配置
  若调用的是Google Cloud其他服务（如Cloud Functions、Cloud Run），需确认目标服务的IAM策略允许Cloud Task使用的服务账号访问。比如Cloud Run要给对应账号添加roles/run.invoker权限，Cloud Functions需配置roles/cloudfunctions.invoker，别只聚焦Cloud Task自身的权限设置。

• 验证服务账号的身份受众（Audience）设置
  创建任务时，若目标是需身份验证的端点，必须指定正确的audience参数，其值要与目标服务的受众完全匹配（比如Cloud Run的完整URL、Cloud Functions的触发器URL）。受众不匹配的话，即便权限配置正确也会触发403。

• 确认任务实际使用的服务账号
  创建Cloud Task时是否明确指定了serviceAccountEmail？如果没指定，会默认使用App Engine服务账号（App Engine环境下）或Compute Engine默认服务账号。要确保这个实际生效的账号拥有目标端点的访问权限，别混淆了配置的账号和实际调用的账号。

• 排查VPC/网络访问限制
  若目标服务在VPC内部，或配置了私有访问、防火墙规则，需确认Cloud Task的流量能抵达目标端点。比如是否为Cloud Task启用了VPC连接器，目标服务的防火墙是否允许VPC连接器的IP段访问。

• 留意IAM权限的生效延迟
  Google Cloud的IAM权限有时需要数分钟才能完全生效，若刚配置完就测试，可能权限还未同步。可以等待10-15分钟后重试。

• 检查请求格式是否合规
  部分服务对HTTP方法（如POST/GET）、Content-Type有严格要求，若请求格式不符合规范，也可能被返回403（虽更常见400，但部分服务会用403拦截不合规请求）。

内容的提问来源于stack exchange，提问作者Said Isa