Firestore触发的Cloud Function无法访问Secret Manager密钥

我在Cloud Function中使用Google Secret Manager访问密钥，此前所有HTTPS和Pub/Sub类型的函数都能正常工作，但新编写的Firestore文档变更触发函数出现异常：

异常代码示例 #

exports.onDocumentUpdated = functions
  .runWith({ secrets: ["MY_SECRET"] })
  .firestore
  .document('documents/{documentId}')
  .onUpdate(async (change: func.Change<QueryDocumentSnapshot>, context)

此时process.env.MY_SECRET的值为undefined。

其他异常表现 #

• 在Cloud Console中查看该函数的密钥权限，发现绑定的是另一个函数使用的无关密钥
• 手动添加MY_SECRET后函数可正常运行，但通过CLI重新部署后，MY_SECRET会被再次移除

补充测试验证 #

编写两个测试函数，HTTPS类型的testSecret1可正常访问TEST_SECRET，但Firestore触发的testSecret2无法访问，输出undefined：

exports.testSecret1 = functions
  .runWith({ secrets: ["TEST_SECRET"] })
  .https.onCall(async (data, context) => {
    func.logger.info(`${process.env.TEST_SECRET}`);
  })

exports.testSecret2 = functions
  .runWith({ secrets: ["TEST_SECRET"] })
  .firestore
  .document('documents/{documentId}')
  .onUpdate(async (change: func.Change<QueryDocumentSnapshot>, context) => {
    func.logger.info(`${process.env.TEST_SECRET}`);
  })

1. 升级Firebase CLI版本 #

早期版本的firebase-tools（低于10.0.0）对Firestore触发函数的secrets配置同步存在bug，会导致函数级的密钥配置不生效。

• 执行firebase --version查看当前版本
• 升级到最新稳定版：npm install -g firebase-tools

2. 检查全局配置覆盖 #

如果firebase.json中存在全局的secrets配置，会覆盖单个函数的runWith设置：

• 打开firebase.json，查看functions字段是否有全局secrets数组：

{
  "functions": {
    "secrets": ["OTHER_SECRET"],
    // 其他配置
  }
}

• 解决方式：要么移除全局secrets配置，要么将需要的密钥加入全局数组，或者升级CLI到支持函数级覆盖的版本

3. 部署时禁用缓存 #

CLI部署可能会使用旧的缓存配置，导致新的密钥设置无法同步：

• 部署函数时添加--no-cache参数：firebase deploy --only functions:testSecret2 --no-cache
• 或者手动删除functions/.firebase缓存目录后重新部署

4. 确认服务账号权限 #

虽然角色主体一致，但Firestore触发函数的服务账号可能存在权限遗漏：

• 确认函数对应的服务账号（通常是[你的项目ID]@appspot.gserviceaccount.com）拥有Secret Manager Secret Accessor角色
• 检查Secret Manager中目标密钥的权限列表，确保该服务账号被正确添加，且没有被其他规则限制

5. 修正代码语法错误 #

你的示例代码中onUpdate的回调函数末尾缺少闭合括号和分号，语法错误可能导致CLI无法正确解析配置：
修正后的代码：

exports.onDocumentUpdated = functions
  .runWith({ secrets: ["MY_SECRET"] })
  .firestore
  .document('documents/{documentId}')
  .onUpdate(async (change: func.Change<QueryDocumentSnapshot>, context) => {
    // 函数逻辑代码
  });

内容的提问来源于stack exchange，提问作者sebastian