Cloud Functions中allUsers是否仅允许自家应用已登录用户调用？

配置allUsers完全不合适，这个标识的含义远超你的预期。

allUsers指的是互联网上的任何用户——不管有没有登录、是不是你家应用的用户，都能无限制调用你的函数。这直接违背了你“仅允许自家应用内已登录用户调用”的需求，会把函数暴露给所有人，带来不必要的安全风险。

正确的做法应该是结合Firebase Auth和权限校验，确保只有符合要求的用户能调用：

• 方式一：结合Cloud IAM与代码校验
  可以先给函数配置allAuthenticatedUsers权限（允许所有已登录的Google账号用户访问），但这个范围还是比“自家应用已登录用户”宽，所以必须在函数代码里额外校验用户的身份有效性，确认是你家应用的注册用户。

• 方式二：代码层直接校验（更严谨）
  用Firebase的Callable函数（推荐），在函数逻辑里先验证用户的登录状态，甚至可以通过自定义Claims进一步限制用户范围。举个Node.js的示例：

  const { onCall, HttpsError } = require("firebase-functions/v2/https");
  const { getAuth } = require("firebase-admin/auth");
  
  exports.restrictedFunction = onCall(async (request) => {
    // 检查用户是否已登录
    if (!request.auth) {
      throw new HttpsError("unauthenticated", "未登录用户无法调用该函数");
    }
  
    // 可选：验证用户是否属于你的应用（比如检查自定义权限标识）
    const user = await getAuth().getUser(request.auth.uid);
    if (!user.customClaims?.belongsToMyApp) {
      throw new HttpsError("permission-denied", "无权限访问该函数");
    }
  
    // 这里写你的函数业务逻辑
    return { result: "操作完成" };
  });
  

  如果是普通HTTP函数，也需要在代码里解析并验证请求头中的Firebase ID Token，确认用户身份合法。

总结：绝对不能用allUsers，它的开放范围完全不符合你的需求，必须通过Auth校验+权限控制来实现仅自家已登录用户访问的目标。

内容的提问来源于stack exchange，提问作者user15748784