如何在Firebase HTTP函数中解析并验证Cloud Task令牌

你需要的验证能力已内置在google-auth-library-nodejs库中，无需额外寻找其他工具包，具体实现步骤如下：

1. 安装依赖 #

执行命令安装官方认证库：
npm install google-auth-library

2. 编写验证逻辑 #

在你的Firebase HTTP函数中添加如下验证代码：

const {OAuth2Client} = require('google-auth-library');
// 替换下方audience值为你的Firebase HTTP函数的完整访问URL
// 该值必须和创建Cloud Tasks任务时oidcToken.audience字段完全一致
const client = new OAuth2Client('你的Firebase函数完整URL');

exports.yourCloudTaskHandler = functions.https.onRequest(async (req, res) => {
  try {
    // 从请求头提取OIDC令牌
    const authHeader = req.get('Authorization');
    if (!authHeader || !authHeader.startsWith('Bearer ')) {
      return res.status(401).send('未提供合法的身份验证令牌');
    }
    const idToken = authHeader.split(' ')[1];

    // 验证令牌合法性
    const ticket = await client.verifyIdToken({
      idToken: idToken,
      audience: '你的Firebase函数完整URL'
    });
    const payload = ticket.getPayload();

    // 校验通过，继续处理业务逻辑
    // 可通过payload.email等字段获取发起任务的服务账号信息
    res.status(200).send('任务处理完成');
  } catch (error) {
    console.error('令牌验证失败:', error);
    return res.status(403).send('身份验证失败');
  }
});

核心注意事项 #

• 令牌验证过程会自动校验签名、有效期、签发方等核心信息，无需手动解析JWT处理
• 必须保证验证时传入的audience参数和创建Cloud Tasks任务时配置的oidcToken.audience完全一致，否则会验证失败
• 生产环境不要省略audience校验，避免非目标服务的合法令牌被滥用

内容的提问来源于stack exchange，提问作者wube