如何从部署在App Engine上的Angular应用安全调用HTTP Cloud Function

安全提示：禁止在前端Angular客户端侧直接存储、使用服务账号密钥生成访问令牌，会导致密钥泄露，引发权限被滥用的严重安全问题。

该需求完全可以实现，推荐按照安全优先级选择以下实现方案：

方案1：App Engine后端代理中转请求（生产环境首选） #

该方案完全复用你已经完成的权限配置，不需要额外调整权限规则，安全性最高：

• 在App Engine部署的后端服务中，使用官方google-auth-library库生成云函数的调用ID令牌，Node.js环境示例代码如下：

const {GoogleAuth} = require('google-auth-library');
const auth = new GoogleAuth();

// 入参为目标云函数的访问URL
async function getFunctionResponse(cfUrl) {
  const client = await auth.getIdTokenClient(cfUrl);
  const cfRes = await client.request({ url: cfUrl });
  return cfRes.data;
}

• 后端新增同域中转接口，Angular前端直接调用该接口即可，不需要额外处理鉴权逻辑，也不存在跨域问题。
• 所有云函数的鉴权、请求逻辑都在后端侧完成，前端无感知，安全风险最低。

方案2：后端单独暴露令牌生成接口 #

如果你不想全量中转云函数请求，可以单独封装令牌生成逻辑：

• 在App Engine后端新增/api/get-cf-token接口，内部生成对应云函数的ID令牌后直接返回给前端。
• Angular前端请求该接口获取令牌后，在云函数请求头中添加Authorization: Bearer ${获取到的令牌}即可正常调用。
• 需对该令牌接口添加访问频率限制、用户身份校验规则，避免被恶意调用。

方案3：纯前端无后端实现（仅测试用，生产不推荐） #

如果App Engine上仅部署了静态Angular SPA，无后端服务，可以选择：

• 为云函数开启允许未身份认证调用，同时在云函数内部自行实现访问控制逻辑，会额外增加开发成本，且有被恶意刷量的风险。
• 接入Firebase Auth + Cloud IAP做前端用户身份认证，关联权限后直接调用云函数，配置复杂度较高。

内容的提问来源于stack exchange，提问作者aj56