Firebase Callable Cloud Function (v2) 从Flutter调用时抛出401 Unauthorized错误的安全配置问询

阿华AIGC实验室

2026-4-8

我明白你现在的困扰：已经配置了Firebase Auth自定义管理员权限、给多个相关服务账号添加了Cloud Run Invoker角色，但调用v2版本的Callable函数时还是返回401未授权，同时不想通过allUsers或allAuthenticatedUsers把函数设为公开。下面我来帮你定位问题并给出精准的解决方案：

问题核心原因

Firebase Callable Functions v2 基于Cloud Run部署，其身份验证逻辑和v1有本质区别。你当前的IAM配置遗漏了终端用户身份的权限绑定——你添加的服务账号都是用于内部服务调用的，但Flutter端是通过Firebase Auth认证的终端用户发起请求，需要专门配置IAM允许这类经过验证的用户调用函数。

正确的配置步骤

1. 精准的IAM权限绑定（替代公开权限）

你不需要使用allAuthenticatedUsers，可以通过条件化IAM绑定实现仅允许带admin自定义claim的Firebase认证用户调用函数：

打开Google Cloud Console，找到你的Cloud Run服务（对应Callable函数v2的部署实例）
进入「权限」标签页，点击「添加权限」
在「新主体」处输入：firebase-authenticated-users（这是代表所有Firebase Auth认证用户的特殊群体）
选择角色：Cloud Run → Cloud Run Invoker
点击「添加条件」，创建一个自定义条件，规则为：
```
request.auth.token.admin == true
```
这个条件会确保只有拥有admin自定义claim的认证用户才能调用函数，比allAuthenticatedUsers更安全精准。

2. 验证Flutter端的身份传递

确保Flutter端调用函数时，当前用户已通过Firebase Auth登录，且ID Token被正确传递（Firebase Functions SDK会自动处理，但可以添加额外校验）：

final functions = FirebaseFunctions.instance;
Future<void> deleteUserByUid(String uid) async {
  final currentUser = FirebaseAuth.instance.currentUser;
  if (currentUser == null) {
    throw Exception("请先登录");
  }
  // 提前校验用户是否拥有admin权限，避免无效调用
  final idTokenResult = await currentUser.getIdTokenResult();
  if (!idTokenResult.claims?['admin'] ?? false) {
    throw Exception("无管理员操作权限");
  }
  final callable = functions.httpsCallable('deleteUserByUid');
  final result = await callable.call({'uid': uid});
  print(result.data);
}

3. 检查Cloud Run服务的身份验证设置

确保你的Cloud Run服务未开启「允许未验证的请求」：

进入Cloud Run服务的「编辑 & 部署新版本」页面
找到「容器」→「身份验证」选项，选择「需要身份验证」

为什么之前的服务账号配置无效？

你添加的firebase-adminsdk-*.iam.gserviceaccount.com等服务账号，是用于服务器端的管理员操作（比如你在后端设置自定义claim的操作），而不是终端用户的函数调用。Flutter端的请求是代表终端用户发起的，所以必须给firebase-authenticated-users（带条件）添加权限。