Firebase Cloud Functions代码可见性、接口调用安全及凭证保护问题

代码安全性相关 #

• 你部署的Cloud Functions源码完全不会对外公开，只有你的Firebase项目下拥有对应权限的团队成员（如项目所有者、编辑者、Cloud Functions开发者角色）可以在Google Cloud控制台查看或下载部署包，外部普通用户没有任何途径获取你的函数代码。你在函数中引入的Admin SDK凭证由Google云平台底层自动管理，不会暴露给外部访问者，隐私性可以得到保障。

HTTP函数访问权限相关 #

• HTTP类型的Cloud Functions的URL格式是固定可推导的，规则为https://<部署区域>-<你的项目ID>.cloudfunctions.net/<函数名>，因此理论上外部用户可以猜到URL并主动发起调用，默认部署的HTTP函数没有访问限制，任何人都可以调用。如果你需要限制仅授权用户可以访问，可以在函数内部增加身份校验逻辑。

ID token解码获取uid的实现方法 #

如果你需要验证调用者身份并解码获取uid，有两种常用实现方案：

1. 手动校验HTTP请求的token
   前端调用函数时，将当前登录用户的ID token放在请求头中，格式为Authorization: Bearer <用户ID token>，函数内部通过Admin SDK的verifyIdToken方法校验token合法性，校验通过后即可获取uid，参考代码如下：

const admin = require("firebase-admin");
// 部署到Cloud Functions时会自动加载环境内置的Admin凭证，无需手动上传密钥文件
if (!admin.apps.length) admin.initializeApp();

exports.yourHttpFunction = functions.https.onRequest(async (req, res) => {
  // 提取请求头中的ID token
  const authHeader = req.headers.authorization;
  const idToken = authHeader?.startsWith("Bearer ") ? authHeader.split(" ")[1] : null;
  if (!idToken) return res.status(401).send("无有效身份凭证");
  
  try {
    const decodedToken = await admin.auth().verifyIdToken(idToken);
    const uid = decodedToken.uid;
    // 此处编写你的业务逻辑
    res.status(200).json({ uid: uid });
  } catch (err) {
    return res.status(401).send("身份凭证无效");
  }
});

2. 使用可调用Cloud Functions
   选择使用functions.https.onCall类型的函数，Firebase会自动处理请求中的ID token校验，你可以直接通过上下文参数获取uid，无需手动解析请求头，参考代码如下：

exports.yourCallableFunction = functions.https.onCall(async (data, context) => {
  // 校验用户是否登录
  if (!context.auth) return { code: 401, msg: "未登录" };
  const uid = context.auth.uid;
  // 此处编写你的业务逻辑
  return { code: 200, uid: uid };
});

内容的提问来源于stack exchange，提问作者Noobdeveloper