Firebase Functions invoker权限机制及配置后403报错问题咨询

问题原因 #

你遇到的403错误是因为GCP IAM的allAuthenticatedUsers身份和Firebase Auth的用户体系完全隔离：

• allAuthenticatedUsers是GCP IAM的内置身份，仅指代通过Google账号、GCP服务账号等Google体系认证的身份，不包含Firebase Auth体系下的用户（包括你用自定义令牌登录的用户），所以你的客户端请求直接在GCP网关层被拦截，根本没有触发你写的函数逻辑。

GCP层权限与函数内context.auth校验的区别 #

两者的作用场景完全不同：

• GCP层invoker权限：用于管控GCP IAM身份的调用权限，适合给内部服务账号、特定Google管理员开放函数调用权限的场景，不适合做C端普通用户的访问控制。
• 函数内context.auth校验：是Firebase专为可调用函数提供的用户校验能力，SDK会自动验证客户端携带的Firebase Auth ID Token合法性，校验通过后才会填充context.auth字段，这才是管控Firebase端用户访问的正确方式。

解决步骤 #

1. 调整云函数的IAM权限：删除allAuthenticatedUsers的invoker权限，添加allUsers的invoker权限（这也是Firebase部署可调用函数的默认配置）。
2. 函数内添加强制身份校验：你可以直接在函数开头判断context.auth是否为空，为空直接抛出未认证错误，示例如下：

exports.hey= functions.https.onCall((data, context) => {
  // 强制校验登录状态
  if (!context.auth) {
    throw new functions.https.HttpsError('unauthenticated', '需要登录后访问');
  }
  return {hello:"world"};
});

3. （可选）增强安全防护：如果你不想公开函数端点给所有用户，可接入Firebase App Check做第一层请求拦截，拦截来自未认证应用的恶意请求，再配合函数内的context.auth校验，实现双层安全防护。

额外校验点 #

确保客户端调用函数时，Firebase Auth登录流程已完全完成，调用时FirebaseAuth.getInstance().getCurrentUser()不为空，Firebase Functions SDK会自动携带有效ID Token发送请求，不需要你手动处理请求头。

内容的提问来源于stack exchange，提问作者Rafael Lima