同服务账号下Firebase云函数间调用鉴权aud声明错误如何解决

• 你混淆了两类完全不同的ID Token：你用GCP Auth库生成的是GCP服务间身份验证专用的OIDC Token，而admin.auth().verifyIdToken()只能验证Firebase端用户登录生成的ID Token，二者的签发规则、aud声明要求完全不匹配，这是报错的核心原因。
• GCP OIDC Token的aud默认是被调用服务的访问地址，而Firebase用户Token的aud固定是你的Firebase项目ID，自然校验不通过。
• 即使你强行把生成Token时的targetAudience改成Firebase项目ID也无法通过校验，因为两类Token的签发方（iss）也不一致，Firebase Admin校验方法会直接判定Token非法。

方案1：使用GCP原生IAM鉴权（推荐，无需手动写校验逻辑） #

两个云函数归属同一个GCP项目的场景下，直接用GCP内置的IAM权限控制是官方推荐的最佳实践：

1. 给调用方云函数的服务账号（默认是<项目ID>@appspot.gserviceaccount.com）授予被调用HTTP云函数的Cloud Functions Invoker角色
2. 调用端生成OIDC Token的代码不用修改，保持传入目标HTTP函数的地址作为targetAudience即可
3. 删除你自己写的Token校验逻辑：GCP云函数会自动校验请求头里的Bearer Token，校验不通过直接返回403，不需要你在业务代码里额外处理，完全省去校验成本。

方案2：保留自定义校验逻辑（适合未来需要同时支持外部调用的场景） #

如果确实需要在业务代码里自主控制校验规则，可以不用Firebase Admin的校验方法，改用GCP Auth库的OIDC Token校验逻辑：

const {OAuth2Client} = require('google-auth-library');
// 初始化校验客户端，audience填你的HTTP云函数的访问地址
const client = new OAuth2Client();
async function verifyToken(token) {
  const ticket = await client.verifyIdToken({
      idToken: token,
      audience: 'https://<你的云函数endpoint>',  // 和生成Token时的targetAudience保持一致
  });
  const payload = ticket.getPayload();
  // 额外校验调用方身份，确保只有指定服务账号可以调用
  if(payload.email !== '<你的调用方服务账号邮箱>') throw new Error('无权访问');
  return payload;
}

这个方案可以兼容未来外部调用的场景：你可以在校验逻辑里增加分支判断，外部用户调用用Firebase用户Token走admin.auth().verifyIdToken()校验，内部云函数调用走OIDC Token校验即可。

内容的提问来源于stack exchange，提问作者Minu Hariharan