Firebase Cloud Function重定向无法打开Instagram URL求助

问题背景 #

我编写了一个简单的Firebase Cloud Function用于URL重定向，代码如下：

export const redirect_url = functions.https.onRequest((request, response) => {
    var redirect_url = request.query.redirect_url as string;
    functions.logger.info(`Redirect URL = ${redirect_url}`, {structuredData: true});
    response.redirect(redirect_url);
});

• 重定向至自有网站时功能正常，请求示例：

  https://us-central1-<PRIVATE>.cloudfunctions.net/redirect_url?redirect_url=https%3A%2F%2Fwealdcreative.com
  

• 尝试重定向至Instagram AR滤镜时，会跳转到Google AppEngine权限页面，提示An application is requesting permission to access your Google Account，异常请求示例：

  https://us-central1-<PRIVATE>.cloudfunctions.net/redirect_url?https%3A%2F%2Fwww.instagram.com%2Far%2F3357317521220189%2F
  

更新信息 #

日志显示转义后的URL未被正常解析，redirect_url值为undefined。转义后的URL应为https%3A%2F%2Fwww.instagram.com%2Far%2F3357317521220189%2F（解码后是https://www.instagram.com/ar/3357317521220189/），推测问题与URL未作为查询参数正常传递有关。直接在函数中使用未转义的URL测试时，可正常打开Instagram滤镜页面。

解决方案 #

核心问题定位 #

异常请求的URL缺少查询参数名redirect_url=，直接将编码后的URL放在问号后，导致云函数无法通过request.query.redirect_url获取到目标地址，取值为undefined，进而触发异常跳转逻辑。

具体修复步骤 #

1. 修正请求URL格式
   确保请求时携带正确的参数名，正确的请求URL应为：

   https://us-central1-<PRIVATE>.cloudfunctions.net/redirect_url?redirect_url=https%3A%2F%2Fwww.instagram.com%2Far%2F3357317521220189%2F
   

2. 增强函数的参数校验与安全防护
   修改函数代码，增加参数校验和域名白名单限制，避免因参数缺失或恶意跳转导致的异常：

   export const redirect_url = functions.https.onRequest((request, response) => {
       const targetUrl = request.query.redirect_url as string;
       functions.logger.info(`Redirect URL = ${targetUrl}`, {structuredData: true});
       
       // 校验必填参数是否存在
       if (!targetUrl) {
           response.status(400).send('缺少必填参数：redirect_url');
           return;
       }
       
       // 校验目标域名是否在允许列表内（可选但推荐）
       const allowedDomains = ['wealdcreative.com', 'instagram.com'];
       try {
           const urlObj = new URL(targetUrl);
           const hostname = urlObj.hostname.replace('www.', '');
           if (!allowedDomains.includes(hostname)) {
               response.status(403).send('不允许跳转到该域名');
               return;
           }
       } catch (err) {
           response.status(400).send('无效的目标URL格式');
           return;
       }
       
       response.redirect(targetUrl);
   });
   

3. 关于Firebase域名配置的说明
   当前问题并非Firebase未允许instagram.com域名导致，无需额外配置Firebase的域名白名单，核心问题已通过参数修正和代码优化解决。

内容的提问来源于stack exchange，提问作者Lee Probert