React Native中Firebase匿名登录下Axios调用Cloud Function鉴权问题

核心原因 #

你用getIdToken()拿到的Firebase匿名用户令牌本身是有效的，但你的onRequest类型Cloud Function没有配置令牌验证逻辑——gcloud CLI生成的是服务账号身份令牌，默认拥有更高权限，所以能正常访问，而前端用户令牌需要函数主动验证合法性。

解决步骤 #

1. 在Cloud Function中添加Firebase ID令牌验证逻辑 #

你需要在onRequest函数里手动验证前端传入的Bearer令牌，确认是合法的Firebase用户令牌（包括匿名用户）。

首先在Cloud Function项目中安装firebase-admin：

npm install firebase-admin

然后修改你的onRequest函数，添加验证逻辑（以Node.js为例）：

const admin = require('firebase-admin');
admin.initializeApp();

exports.yourFunctionName = (req, res) => {
  // 提取Authorization头中的Bearer令牌
  const authHeader = req.headers.authorization;
  if (!authHeader || !authHeader.startsWith('Bearer ')) {
    return res.status(401).send('Unauthorized: No valid token');
  }
  const idToken = authHeader.split('Bearer ')[1];

  // 验证Firebase ID令牌
  admin.auth().verifyIdToken(idToken)
    .then(decodedToken => {
      // 令牌验证通过，decodedToken包含用户信息（匿名用户的uid等）
      console.log('Valid user:', decodedToken.uid);
      // 处理你的业务逻辑
      res.status(200).send('Request processed successfully');
    })
    .catch(error => {
      // 令牌无效或过期
      console.error('Token verification failed:', error);
      res.status(401).send('Unauthorized: Invalid token');
    });
};

2. 前端确保获取最新的有效令牌 #

有时候getIdToken()会返回缓存的过期令牌，你可以强制刷新令牌来避免这个问题：

// 强制刷新令牌，获取最新的有效令牌
const TOKEN = await auth().currentUser?.getIdToken(true);

await axios.post(CLOUD_FUNC_URL, payload, {
  headers: {
    'Content-Type': 'application/json',
    Authorization: `Bearer ${TOKEN}`,
  },
});

3. 检查Cloud Function的IAM权限 #

确保你的Cloud Function的IAM设置允许外部请求访问：

• 如果你希望只有通过令牌验证的用户访问，可以将函数的IAM权限设置为allUsers（但必须配合内部的令牌验证，避免未授权访问）；
• 不要设置为仅允许特定服务账号，否则前端用户令牌无法通过权限校验。

内容的提问来源于stack exchange，提问作者Scaraux