HTTP云函数与事件驱动云函数能否访问Firestore同一集合？访问报401未授权

不同类型云函数的Firestore访问规则 #

• 部署在同一Firebase项目下的所有云函数，无论触发类型是Storage事件驱动还是HTTP请求触发，默认共用项目级服务账号权限，不存在数据隔离限制，完全可以读写同一个Firestore的video集合，不存在跨函数访问不了的问题。

401报错的根本原因 #

你收到的HTML格式401响应，不是你云函数代码内的报错：
如果是Firestore权限不足导致的报错，请求会正常进入你写的.catch逻辑，返回你代码定义的JSON格式500响应，而不是返回Google Cloud网关的原生HTML页面。
很多人排查代码找不到问题，就是因为这个拦截发生在网关前置层，你的代码根本没有被触发执行。常见的拦截触发原因有两个：

• 访问路径不匹配：你代码里导出的函数名是getVideos，部署后实际生成的访问路由默认与导出函数名绑定，你实际请求的/video/get-videos路径没有对应部署的函数资源，网关会直接返回401。
• 函数的公共访问权限未配置：HTTP云函数默认的IAM权限是仅允许项目内服务账号调用，没有给公共访问主体授予调用权限，任何外部无有效项目身份凭证的请求，都会在网关层被拦截。

修复操作步骤 #

• 核对实际访问URL：打开Firebase控制台的云函数列表，找到getVideos函数，复制控制台生成的完整触发地址，替换你测试时用的自定义路径，排除路径拼写错误的问题。
• 配置函数调用权限：如果这个接口需要对外提供公共访问，需要在函数的IAM配置中，为allUsers主体添加Cloud Function Invoker权限，放行外部请求。
• 身份校验逻辑不要依赖网关拦截：如果需要做接口鉴权，要在函数代码内手动校验请求携带的身份凭证，避免被网关层拦截后返回非预期的HTML报错，影响前端处理逻辑。

内容的提问来源于stack exchange，提问作者Meghana Kothaluri