Firebase V2云函数使用Secret Manager中的APNs .p8密钥签名ES256 JWT时触发“secretOrPrivateKey must be an asymmetric key when using ES256”错误

我之前在Firebase V2云函数里处理APNs JWT签名时，也碰到过完全一样的问题！本地测试一切正常，但部署到云函数就触发这个报错，折腾了好久才找到根源，下面给你几个排查和解决的方向：

问题根源分析 #

本地测试正常但云函数报错，核心差异在于云函数环境中从Secret Manager获取的密钥字符串，在jsonwebtoken库的解析逻辑中没有被识别为有效的ECDSA私钥——大概率是密钥的格式在传输/转换过程中出现了细微差异，或者库与云函数Node.js 20环境的兼容性问题。

先做个快速排查 #

先确认云函数中获取的密钥格式是否和本地完全一致：
在你的signTestJwt函数里，添加几行日志（注意别泄露完整密钥）：

console.log("Key total length:", privateKey.length);
console.log("Contains line breaks:", privateKey.includes("\n"));
console.log("Number of lines:", privateKey.split("\n").length);

部署后调用函数，把这些日志值和本地测试时的密钥对比：如果云函数里的密钥更短、没有换行符，说明Secret Manager存储的密钥格式有问题；如果数值一致，那就是库的解析逻辑在云函数环境里出了兼容问题。

可行的解决方案 #

方案1：将密钥字符串转为Buffer传入jwt.sign #

jsonwebtoken对Buffer格式的密钥解析更稳定，尤其是在云函数的Node.js 20环境中：

// 替换原来的签名逻辑中的密钥部分
const privateKey = version.payload.data.toString("utf8");
// 新增：将字符串转为Buffer
const privateKeyBuffer = Buffer.from(privateKey, "utf8");
// 签名时传入Buffer而非字符串
const token = jwt.sign(payload, privateKeyBuffer, options);

方案2：手动修复密钥的换行符格式 #

有时候在将.p8密钥粘贴到Secret Manager的Web UI时，浏览器会自动把换行符替换成空格，导致密钥格式失效。可以手动修复：

let privateKey = version.payload.data.toString("utf8");
// 修复可能丢失的换行符
privateKey = privateKey
  .replace(/ /g, '\n')
  .replace(/^-----BEGIN PRIVATE KEY-----/, '')
  .replace(/-----END PRIVATE KEY-----$/, '')
  .trim();
// 重新拼接成标准PEM格式
const formattedPrivateKey = `-----BEGIN PRIVATE KEY-----\n${privateKey}\n-----END PRIVATE KEY-----`;
// 用修复后的密钥签名
const token = jwt.sign(payload, formattedPrivateKey, options);

方案3：改用jose库替代jsonwebtoken #

jsonwebtoken已经停止维护，对新Node.js版本的兼容性一般。官方推荐的jose库对ECDSA密钥的解析逻辑更严谨，我亲测这个方案能直接解决问题：

1. 安装依赖：

npm install jose

2. 替换签名逻辑：

const { onCall } = require("firebase-functions/v2/https");
const { SecretManagerServiceClient } = require("@google-cloud/secret-manager");
const { SignJWT, importPKCS8 } = require('jose');

// ... 保留其他配置代码不变

exports.signTestJwt = onCall(async (request) => {
  try {
    console.log("Fetching secret from Secret Manager...");
    const [version] = await secretManagerClient.accessSecretVersion({ name: SECRET_NAME });
    const privateKey = version.payload.data.toString("utf8");

    // 导入并解析ECDSA私钥
    const ecPrivateKey = await importPKCS8(privateKey, 'ES256');
    // 生成签名JWT
    const token = await new SignJWT({ iss: APPLE_TEAM_ID })
      .setProtectedHeader({ alg: 'ES256', kid: APPLE_KEY_ID })
      .setIssuedAt()
      .setExpirationTime('1h')
      .sign(ecPrivateKey);

    console.log("JWT signed successfully!");
    return { success: true, token: token };
  } catch (error) {
    console.error("Failed to sign JWT:", error);
    throw new functions.https.HttpsError("internal", "Failed to sign JWT.", error.message);
  }
});

方案4：强制重新安装依赖 #

有时候云函数部署时会缓存旧的依赖包，导致版本不一致：

1. 本地删除node_modules和package-lock.json
2. 重新执行npm install
3. 部署时加--force参数：

firebase deploy --only functions --force

内容来源于stack exchange