GCP云函数调用Firebase generateEmailVerificationLink权限不足报错

在GCP Cloud Function中调用admin.auth().generateEmailVerificationLink生成邮箱验证链接时，触发权限不足错误：

Error: Credential implementation provided to initializeApp() via the "credential" property has insufficient permission to access the requested resource. See https://firebase.google.com/docs/admin/setup for details on how to authenticate this SDK with appropriate permissions.

复现代码 #

index.js #

const admin = require('firebase-admin');

admin.initializeApp();

exports.helloWorld = (req, res) => {
  execute(res);
};

const execute = async (res) => {
  const email = 'test@test.com';
  const url = 'https://example.firebaseapp.com';
  const link = await admin.auth().generateEmailVerificationLink(email, { url });
  console.log(link);
  res.status(200).send(link);
};

package.json #

{
  "name": "sample-http",
  "version": "0.0.1",
  "dependencies": {
    "firebase-admin": "^10.0.2"
  }
}

已完成的配置 #

• 为Firebase Admin服务账号（firebase-adminsdk-XXX@example.iam.gserviceaccount.com）配置了以下角色：
  • Firebase Admin SDK Administrator Service Agent
  • Service Account Token Creator
• 在GCP中启用了以下API：
  • Cloud Firestore API
  • Cloud Functions API
  • Firebase Installations API
  • Token Service API
  • Identity Toolkit API

1. 检查Cloud Function运行时的服务账号 #

你给Firebase Admin服务账号配置了权限，但Cloud Function默认使用的是项目的App Engine默认服务账号（格式：[PROJECT_ID]@appspot.gserviceaccount.com），这是权限不足的核心原因。

需要给该默认服务账号添加两个关键角色：

• Firebase Auth Admin：拥有生成邮箱验证链接等所有Firebase Auth管理权限
• Service Account Token Creator：确保服务账号能生成操作所需的令牌

2. 调整Firebase Admin SDK初始化逻辑（可选） #

在GCP Cloud Function中，admin.initializeApp()会自动获取环境凭据，但如果项目关联Firebase的配置特殊，可以显式指定Firebase Admin服务账号的凭据（生产环境建议通过GCP Secrets Manager存储密钥文件，不要硬编码）：

const admin = require('firebase-admin');
const { getAuth } = require('firebase-admin/auth');

// 测试环境可临时使用本地密钥文件，生产环境替换为Secrets Manager读取逻辑
const serviceAccount = require('./service-account-key.json');

admin.initializeApp({
  credential: admin.credential.cert(serviceAccount)
});

// 调用方式保持不变
const link = await getAuth().generateEmailVerificationLink(email, { url });

3. 验证Identity Toolkit API权限 #

生成邮箱验证链接依赖Identity Toolkit API，确认服务账号拥有identitytoolkit.projects.update权限——该权限包含在Firebase Auth Admin角色中，只需确保角色已正确分配即可。

4. 升级Firebase Admin SDK版本 #

你当前使用的10.0.2版本存在部分权限适配问题，建议升级到最新稳定版：
修改package.json中的依赖：

"firebase-admin": "^12.0.0"

重新安装依赖后部署Cloud Function。

内容的提问来源于stack exchange，提问作者Ryan Saunders