Firebase CLI部署的函数调用返回unauthenticated错误，配权限仍无效怎么解决

1. 检查函数部署区域与调用区域是否匹配 #

• 很多时候通过CLI部署时如果没指定区域，函数会默认部署到us-central1，但应用侧调用时如果写了其他区域（比如asia-east1），就会触发无权限报错，本质是调用了不存在的函数地址。
• 排查方法：在GCloud云函数控制台查看函数的实际部署区域，和应用侧调用的region参数做比对，确保完全一致。

2. 确认函数级别的invoker权限确实生效 #

• 有时候配置完allUsers的Cloud Functions Invoker角色后，权限需要1-2分钟的传播时间，刚配置完立刻调用可能不生效。
• 可以通过gcloud命令直接校验权限：gcloud functions get-iam-policy 你的函数名 --region=部署区域，输出里如果有allUsers对应roles/cloudfunctions.invoker才是配置成功。
• 注意：如果你的Firebase项目是组织管理下的子项目，需要先确认组织层面没有禁用“允许公开未认证函数”的组织策略，该策略会强制覆盖项目级别的权限配置。

3. 检查函数代码的权限校验逻辑 #

• 如果是用functions.https.onCall类型的可调用函数，不是普通的onRequestHTTP函数，框架自带身份校验逻辑，就算配置了allUsers权限，调用时如果没有带有效的Firebase Auth ID token也会返回unauthenticated错误。
• 如果需要允许onCall函数未认证调用，需要在代码里主动跳过身份校验，或者把函数改成onRequest类型的HTTP函数。

4. 检查Firebase CLI部署时的权限配置 #

• 部分旧版本的Firebase CLI在部署函数时会自动覆盖GCloud控制台配置的权限，建议部署时加上参数指定允许公开调用：firebase deploy --only functions:你的函数名 --allow-unauthenticated，部署完成后再去GCloud控制台核对权限是否保留。

5. 检查API网关/CDN等中间层配置 #

• 如果你的函数前面加了自定义域名、Cloud CDN或者API网关，需要确认中间层没有额外添加身份校验规则，或者转发的请求头里的认证信息被篡改/删除。

内容的提问来源于stack exchange，提问作者polar