授权存储触发通知至Cloud Functions的安全顾虑问询

我来梳理下这种实现方式的几个关键安全顾虑，以及你关心的未授权人员能否获取通知或触发函数的问题：

核心安全顾虑 #

• 事件伪造与未校验风险：虽然通过gcloud beta functions deploy --trigger-resource部署的GCS触发器会由Google Cloud自动验证事件来源的合法性，但如果开发者在函数内部没有额外添加事件校验逻辑（比如验证事件的签名、桶名匹配），就存在被攻击者伪造GCS事件请求触发函数的潜在风险——尤其是如果函数处理敏感操作（比如修改数据、访问其他云资源）的话，后果会很严重。
• IAM权限配置失误：
  • 部署函数时，如果给函数的服务账号分配了过宽的权限（比如能读写多个存储桶、访问云数据库或其他服务），一旦函数被恶意触发或存在代码漏洞，攻击者就能利用这些过度权限进行越权操作。
  • 如果错误地给allUsers或allAuthenticatedUsers分配了函数的roles/cloudfunctions.invoker角色，那任何外部人员都能直接调用函数的HTTP端点触发执行。
• 敏感数据泄露风险：如果函数在处理变更通知时，把事件中的敏感信息（比如文件路径、文件元数据、内容哈希）直接输出到未受保护的日志中，而日志的IAM权限又配置不当，未授权人员就可以通过查看日志获取这些通知内容。
• 函数代码漏洞：如果函数代码本身存在注入类漏洞（比如处理用户可控的事件数据时未做过滤），攻击者可能通过构造恶意事件来执行任意代码，进而控制函数所在的环境。

未授权人员能否获取通知或触发函数？ #

默认配置下，未授权人员无法直接触发函数或获取原始通知：

• GCS触发器的函数只有GCS的官方服务账号有权触发，外部请求会被IAM权限拦截；
• 变更通知的内容只会传递给函数执行环境，只有拥有函数查看权限（roles/cloudfunctions.viewer）或日志查看权限（roles/logging.viewer）的授权用户才能访问相关数据。

但如果出现以下情况，未授权人员就可能绕过限制：

• 函数的invoker权限被错误开放给了非授权主体（比如allUsers）；
• 函数代码未对事件来源做校验，攻击者成功伪造了合法格式的GCS事件；
• 函数日志或处理后的通知数据被存储在公开可访问的位置（比如未设置权限的存储桶）。

内容的提问来源于stack exchange，提问作者mohawkTrail