iOS(Swift)向GCP实时发送POST请求及访问令牌获取方案咨询

能否通过Firebase iOS SDK获取目标访问令牌 #

无法实现。Firebase iOS SDK生成的身份令牌仅用于Firebase生态服务鉴权，和你需要的gcloud auth application-default print-access-token产出的GCP IAM访问令牌逻辑不互通，无法直接用于Recommendations AI的接口鉴权。
另外绝对不要尝试在iOS客户端本地存储GCP服务账号密钥生成访问令牌，攻击者可以轻易反编译客户端提取密钥，获得你的GCP资源的全部访问权限，存在极高安全风险。

推荐的最简安全实现方案 #

使用Firebase Cloud Functions作为代理层是目前开发成本最低、安全性最高的方案，具体流程如下：

• iOS端先集成Firebase Auth完成用户身份校验，获取合法的Firebase用户ID令牌
• iOS端将需要发送给Recommendations AI的请求参数，连同Firebase ID令牌一起发送到你部署的Cloud Functions接口
• Cloud Functions侧首先校验传入的Firebase ID令牌合法性，过滤非法请求
• Cloud Functions运行环境自带已授权的GCP应用默认凭证，你可以直接调用GCP Retail SDK发起请求，SDK会自动生成Authorization: Bearer <access-token>请求头并处理令牌刷新，不需要手动管理服务账号密钥
• Cloud Functions拿到Recommendations AI的返回结果后，直接回传给iOS端即可

额外优化建议 #

• 可以在Cloud Functions侧增加请求参数校验、频率限制规则，降低接口被滥用的风险
• 如果你的应用已经有自有后端服务，也可以把代理逻辑放在自有后端实现，逻辑和Cloud Functions方案完全一致

内容的提问来源于stack exchange，提问作者VidU