Cloud Function调用Firestore REST API OAuth2认证401问题求助

核心问题：用错了令牌类型 #

你当前代码里用google.oauth2.id_token.fetch_id_token获取的是ID Token，但Firestore REST API需要的是Access Token——这两种令牌的用途完全不同：

• ID Token主要用于身份验证，针对特定服务（比如Cloud Functions函数本身）
• Access Token用于授权，授予对特定Google Cloud服务（如Firestore）的访问权限

修正后的代码 #

替换原有的令牌获取逻辑，改用google.auth库获取Access Token：

import urllib
import google.auth
import google.auth.transport.requests

def make_authorized_get_request(endpoint):
    # 获取默认凭据（Cloud Function运行时会自动加载服务账号凭据）
    credentials, project_id = google.auth.default(
        scopes=["https://www.googleapis.com/auth/datastore"]
    )

    # 刷新凭据以获取有效的Access Token
    auth_req = google.auth.transport.requests.Request()
    credentials.refresh(auth_req)

    # 构建请求并添加Authorization头
    req = urllib.request.Request(endpoint)
    req.add_header("Authorization", f"Bearer {credentials.token}")
    
    response = urllib.request.urlopen(req)
    return response.read()

关键说明 #

1. 权限范围（Scopes）：
   这里指定的https://www.googleapis.com/auth/datastore是Firestore REST API所需的最小权限范围，也可以用更宽泛的https://www.googleapis.com/auth/cloud-platform（如果需要访问多个GCP服务）
2. 服务账号权限检查：
   确保运行Cloud Function的服务账号（默认是PROJECT_ID@appspot.gserviceaccount.com）拥有Firestore的访问权限，比如添加Cloud Datastore User或Firebase Admin角色
3. 自动令牌刷新：
   credentials.refresh()会自动处理令牌过期问题，不需要手动复制gcloud的令牌，运行时会自动获取并刷新有效令牌

额外排查步骤 #

如果还是返回401，检查以下几点：

• 确认Firestore REST API的Endpoint格式正确（比如https://firestore.googleapis.com/v1/projects/PROJECT_ID/databases/(default)/documents/COLLECTION_NAME）
• 验证服务账号的角色是否已正确绑定到项目或特定资源
• 查看Cloud Function的日志，确认是否有更详细的错误信息（比如权限不足的具体提示）

内容的提问来源于stack exchange，提问作者Mack Raymond