为何使用$(gcloud auth print-identity-token)返回401，手动输入ID Token却正常？

核心原因 #

你直接使用gcloud auth print-identity-token生成的ID Token，受众（aud字段）不满足Cloud Functions的认证要求。

Cloud Functions的HTTP触发在验证ID Token时，要求token的aud字段必须严格匹配函数的完整请求URL（即https://origin-project.cloudfunctions.net/myfunction）。默认不带参数的gcloud auth print-identity-token生成的token，aud字段并非目标函数URL，因此会被认证机制拦截，返回401 Unauthorized。而你手动插入的token应该是之前指定了正确受众生成的，所以能通过验证。

解决办法 #

生成ID Token时，通过--audiences参数指定函数的完整URL，修改后的curl命令如下：

curl -m 550 -X POST https://origin-project.cloudfunctions.net/myfunction \
-H "Authorization: bearer $(gcloud auth print-identity-token --audiences=https://origin-project.cloudfunctions.net/myfunction)" \
-H "Content-Type: application/json" -d '{}'

验证方式 #

如果需要确认生成的Token受众是否正确，可以执行以下命令解码查看aud字段：

gcloud auth print-identity-token --audiences=https://origin-project.cloudfunctions.net/myfunction | cut -d '.' -f 2 | base64 --decode | jq '.aud'

输出结果应为目标函数的完整URL，说明受众配置正确。

内容的提问来源于stack exchange，提问作者Banty