如何阻止未认证用户调用Firebase可调用云函数？求更优拦截方案

你当前在每个函数开头判断context.auth的方法确实能拦截未认证请求，但仍会触发函数执行。下面两种方案能让未认证请求更早被拦截，甚至完全不触发函数：

1. IAM权限控制（最彻底的拦截） #

直接通过Google Cloud的IAM权限限制，让只有已认证用户能调用你的可调用函数。未认证请求会被谷歌的基础设施直接拦截，根本不会进入函数执行环节，能节省资源和执行时间。

操作步骤：

• 打开Google Cloud控制台，找到你的Cloud Functions列表，选中目标函数。
• 进入「权限」标签页，删除默认的allUsers（允许所有人调用）权限条目。
• 添加新权限：主体选择allAuthenticatedUsers，角色选择「Cloud Functions Invoker」。

设置完成后，未认证请求会直接返回403错误，完全不会触发函数。需要注意的是，客户端必须通过Firebase SDK调用函数（SDK会自动携带用户的ID Token），手动调用的话要在请求头里带上Authorization: Bearer <用户ID Token>。

2. 封装认证中间件（灵活复用） #

如果需要更细粒度的控制（比如校验用户角色、特定用户组），可以把认证逻辑封装成可复用的中间件，避免每个函数都写重复代码：

// 封装认证中间件
const requireAuth = (func) => {
  return async (data, context) => {
    if (!context.auth) {
      throw new functions.https.HttpsError(
        "failed-precondition",
        "必须认证后才能调用此函数。"
      );
    }
    // 可在这里添加额外校验，比如检查用户角色
    // if (!context.auth.token.isAdmin) {
    //   throw new functions.https.HttpsError("permission-denied", "无权限访问");
    // }
    return func(data, context);
  };
};

// 使用中间件包装可调用函数
exports.yourFunction = functions.https.onCall(requireAuth(async (data, context) => {
  // 这里是你的核心业务逻辑，已确保用户已认证
  return { result: "认证通过，执行成功" };
}));

这种方案虽然还是会触发函数的初始化，但主业务逻辑不会执行，而且代码复用性强，后续修改认证逻辑只需调整中间件即可。

内容的提问来源于stack exchange，提问作者Cupid Chan