Firebase Callable Cloud Function (v2) 从Flutter调用时抛出401 Unauthorized错误的安全配置问询

我明白你现在的困扰：已经配置了Firebase Auth自定义管理员权限、给多个相关服务账号添加了Cloud Run Invoker角色，但调用v2版本的Callable函数时还是返回401未授权，同时不想通过allUsers或allAuthenticatedUsers把函数设为公开。下面我来帮你定位问题并给出精准的解决方案：

问题核心原因 #

Firebase Callable Functions v2 基于Cloud Run部署，其身份验证逻辑和v1有本质区别。你当前的IAM配置遗漏了终端用户身份的权限绑定——你添加的服务账号都是用于内部服务调用的，但Flutter端是通过Firebase Auth认证的终端用户发起请求，需要专门配置IAM允许这类经过验证的用户调用函数。

正确的配置步骤 #

1. 精准的IAM权限绑定（替代公开权限）

你不需要使用allAuthenticatedUsers，可以通过条件化IAM绑定实现仅允许带admin自定义claim的Firebase认证用户调用函数：

• 打开Google Cloud Console，找到你的Cloud Run服务（对应Callable函数v2的部署实例）
• 进入「权限」标签页，点击「添加权限」
• 在「新主体」处输入：firebase-authenticated-users（这是代表所有Firebase Auth认证用户的特殊群体）
• 选择角色：Cloud Run → Cloud Run Invoker
• 点击「添加条件」，创建一个自定义条件，规则为：

  request.auth.token.admin == true
  

  这个条件会确保只有拥有admin自定义claim的认证用户才能调用函数，比allAuthenticatedUsers更安全精准。

2. 验证Flutter端的身份传递

确保Flutter端调用函数时，当前用户已通过Firebase Auth登录，且ID Token被正确传递（Firebase Functions SDK会自动处理，但可以添加额外校验）：

final functions = FirebaseFunctions.instance;
Future<void> deleteUserByUid(String uid) async {
  final currentUser = FirebaseAuth.instance.currentUser;
  if (currentUser == null) {
    throw Exception("请先登录");
  }
  // 提前校验用户是否拥有admin权限，避免无效调用
  final idTokenResult = await currentUser.getIdTokenResult();
  if (!idTokenResult.claims?['admin'] ?? false) {
    throw Exception("无管理员操作权限");
  }
  final callable = functions.httpsCallable('deleteUserByUid');
  final result = await callable.call({'uid': uid});
  print(result.data);
}

3. 检查Cloud Run服务的身份验证设置

确保你的Cloud Run服务未开启「允许未验证的请求」：

• 进入Cloud Run服务的「编辑 & 部署新版本」页面
• 找到「容器」→「身份验证」选项，选择「需要身份验证」

为什么之前的服务账号配置无效？ #

你添加的firebase-adminsdk-*.iam.gserviceaccount.com等服务账号，是用于服务器端的管理员操作（比如你在后端设置自定义claim的操作），而不是终端用户的函数调用。Flutter端的请求是代表终端用户发起的，所以必须给firebase-authenticated-users（带条件）添加权限。

测试验证 #

完成上述配置后，无需重新部署函数（IAM权限会实时生效），用你的admin用户登录Flutter应用并调用函数，应该就能正常返回成功响应了。

内容来源于stack exchange