如何以安全方式从Cloud Tasks调用Firebase Function并解决认证错误

可行实现方案 #

方案一：使用原生OIDC认证（安全性最高） #

核心问题根源：Cloud Tasks 生成的 OIDC Token 固定由 https://accounts.google.com 签发，而你按照报错提示将 audience 设为 Firebase 项目 ID 时，云函数默认校验的是 Firebase Auth 签发的用户 Token，二者 issuer 不匹配导致报错。
正确配置步骤：

• 给用于触发任务的服务账号授予目标 Firebase 函数的 roles/cloudfunctions.invoker 权限
• Cloud Tasks 配置 OIDC Token 时，audience 参数填目标 Firebase 函数的完整 HTTP 访问 URL，而非 Firebase 项目 ID
• 云函数侧手动校验传入的 ID Token，不要使用 Firebase 自带的用户 Auth 校验逻辑，参考 Node.js 示例代码如下：

const {OAuth2Client} = require('google-auth-library');
const client = new OAuth2Client();
// 预设值：你的函数URL、用于触发任务的服务账号邮箱
const EXPECTED_AUD = 'https://<region>-<project-id>.cloudfunctions.net/<function-name>';
const EXPECTED_SERVICE_ACCOUNT = 'task-trigger@<project-id>.iam.gserviceaccount.com';

async function validateRequest(req) {
  const bearerToken = req.headers.authorization?.split(' ')[1];
  if (!bearerToken) return false;
  try {
    const ticket = await client.verifyIdToken({
      idToken: bearerToken,
      audience: EXPECTED_AUD,
    });
    const payload = ticket.getPayload();
    return payload.iss === 'https://accounts.google.com' && payload.email === EXPECTED_SERVICE_ACCOUNT;
  } catch (e) {
    return false;
  }
}

在函数入口先调用validateRequest校验请求合法性，校验通过再执行业务逻辑即可。

方案二：自定义密钥校验（实现最简单） #

适合内部业务场景，无需处理OIDC适配问题：

• 将目标 Firebase 函数设置为允许公开访问
• 生成一个高复杂度的随机密钥，提交Cloud Tasks任务时添加自定义请求头X-Internal-Key，值为该密钥
• 云函数侧仅需要判断请求头的X-Internal-Key是否和预设值一致，一致则放行执行逻辑

常见踩坑注意事项 #

• 第二代Firebase Functions需要确认ingressSettings配置允许Cloud Tasks的入站请求，否则会直接拦截请求
• 不要混用Firebase用户Token校验逻辑和Google服务账号ID Token校验逻辑，二者的签发方、aud规则完全不同

内容的提问来源于stack exchange，提问作者Peter Hägg