Firebase Callable Functions如何设置带配置的响应Cookie

尝试使用Firebase可调用云函数（https.onCall）在响应中返回带配置选项的Cookie。查阅资料已知基于Express框架可以实现该能力，官方提供的Express实现示例如下：

app.post('/sessionLogin', (req, res) => {
  // 获取传入的ID令牌和CSRF令牌
  const idToken = req.body.idToken.toString();
  const csrfToken = req.body.csrfToken.toString();
  // 防御CSRF攻击
  if (csrfToken !== req.cookies.csrfToken) {
    res.status(401).send('UNAUTHORIZED REQUEST!');
    return;
  }
  // 设置会话有效期为5天
  const expiresIn = 60 * 60 * 24 * 5 * 1000;
  // 创建会话Cookie，过程中会自动验证ID令牌有效性
  // 会话Cookie将继承ID令牌的所有声明
  // 可以校验ID令牌中的auth_time字段，仅允许最近登录的用户创建会话Cookie
  getAuth()
    .createSessionCookie(idToken, { expiresIn })
    .then(
      (sessionCookie) => {
        // 配置会话Cookie策略
        const options = { maxAge: expiresIn, httpOnly: true, secure: true };
        res.cookie('session', sessionCookie, options);
        res.end(JSON.stringify({ status: 'success' }));
      },
      (error) => {
        res.status(401).send('UNAUTHORIZED REQUEST!');
      }
    );
});

目前已完成可调用函数的基础逻辑开发，但不清楚如何为生成的Cookie字符串附加配置属性，现有实现代码如下：

// 期望返回值是Cookie对象而非字符串
export const setCookie = https.onCall(async (context: https.CallableContext): Promise<string> => { 
    try {
        console.log(context);
        const auth: Auth = getAuth();
        const idToken: DecodedIdToken = await auth.verifyIdToken(context.instanceIdToken!);
        console.log("idToken: ", idToken);

        const cookie: string = await auth.createSessionCookie(idToken.uid, { expiresIn: 300000 });
        const options = {
            maxAge: 300000,
            httpOnly: true,
            secure: true,
            sameSite: "strict",
        };
        // res.cookie("session", cookie, options);
        return cookie; // 需要将该值设置到域名为.web.app的__session Cookie上
        // 同时配置httpOnly=true, secure=true、sameSite=strict属性
    } catch (error) {
        console.log("ERROR FOUND: ", error);
        throw new https.HttpsError("unknown", "Error found in setCookie");
    }
});

核心疑问：是否可以直接通过Firebase Callable Cloud Function发送带配置选项的Cookie？现有资料显示Node.js环境下需要借助Express才能发送带配置属性的Cookie，需要可行的解决思路。

Firebase可调用云函数（https.onCall）本身不支持直接设置带自定义配置的响应Cookie。
可调用函数的响应协议由Firebase SDK固定封装，开发者没有权限操作底层HTTP响应对象，无法直接写入Set-Cookie响应头，自然也不能给Cookie附加httpOnly、secure、sameSite这类服务端配置属性。

• 方案1（官方推荐）：放弃可调用函数，改用HTTP云函数+Express实现
  这是Firebase官方唯一支持的会话Cookie设置方案，你可以直接复用官方示例代码，在HTTP函数中完全控制响应逻辑，自由配置Cookie的所有属性。注意如果使用Firebase托管，自定义Cookie必须命名为__session，其他名称的Cookie会被托管层自动剥离。
• 方案2（不推荐，安全性低）：前端配合设置非HttpOnly Cookie
  如果一定要保留可调用函数的调用形式，可以将Cookie字符串和配置项一起作为返回值传给前端，由前端通过document.cookie手动写入Cookie。但该方案完全无法设置httpOnly属性——httpOnly类型的Cookie只能通过服务端Set-Cookie头下发，前端JS无权操作，会导致Cookie面临XSS窃取风险，不适合存储身份会话类敏感数据。

内容的提问来源于stack exchange，提问作者Matthew Keller