如何用Google Cloud App Engine为跨项目SPA和API实现统一鉴权？

刚好之前在项目里实现过类似的跨项目SPA+API统一鉴权场景，基于Google Cloud生态给你推荐几个靠谱的方案，完全能满足你的需求：

这是最贴合Google Cloud原生的方案，几乎不用写额外代码就能搞定，完美适配你的“先鉴权再提供SPA资源+跨项目API访问”需求：

• 给SPA的GAE服务启用IAP：在Google Cloud控制台找到SPA所在的GAE服务，开启IAP后，用户访问SPA域名时会被自动重定向到Google账号鉴权页面，只有鉴权通过的用户才能加载SPA的静态资源，直接解决“提供源码前鉴权”的问题。
• 给API的GAE服务启用IAP：同样在API所在项目的GAE服务中开启IAP，然后进入API项目的IAM页面，添加SPA项目中IAP认证后的用户（或用户组），授予roles/iap.httpsResourceAccessor权限。这样当SPA用户鉴权后，访问API时IAP会自动传递用户身份信息，API服务就能直接验证身份并允许访问。
• SPA调用API的简化处理：SPA不需要手动处理鉴权逻辑，IAP会在请求头中自动带上X-Goog-Authenticated-User-Email、X-Goog-Authenticated-User-ID等身份字段，API服务可以直接读取这些字段做权限校验，或者用Google官方的客户端库自动完成身份验证。

如果需要更自定义的登录界面、多身份提供商支持，或者细粒度的权限控制，这个方案更合适：

• 统一身份管理：在Firebase控制台配置Auth服务，支持Google账号、邮箱密码、第三方登录等多种方式，作为两个项目的统一身份源。
• SPA端鉴权拦截：SPA部署到GAE后，在前端路由的全局守卫（比如React的useEffect、Vue的router.beforeEach）中检查用户是否已登录。未登录时跳转到Firebase Auth的登录页面，登录成功后获取ID Token并存在本地存储中。
• API端Token验证：SPA调用跨项目API时，将ID Token放在请求头的Authorization: Bearer <ID_TOKEN>中。API服务（GAE）收到请求后，用google-auth-library这类官方库验证Token的有效性，确认用户身份后再处理业务逻辑。
• 跨项目权限控制：可以通过Firebase Auth的自定义Claims给用户标记权限，或者在API项目中配置服务账号，让API服务能调用Firebase Auth的API获取用户权限信息，实现更细粒度的资源访问控制。

• 跨项目权限配置：不管用哪个方案，都要确保两个项目的IAM权限配置正确。比如IAP方案中要把SPA项目的IAP用户添加到API项目的IAP访问列表；Firebase方案中要给API服务的服务账号授予访问Firebase Auth的权限。
• SPA安全防护：绝对不要在SPA代码中硬编码敏感信息（比如API密钥、服务账号密钥），所有鉴权逻辑都依赖后端或Google的托管服务处理。
• 本地开发调试：IAP方案可以用gcloud auth application-default login模拟鉴权状态；Firebase方案可以启用本地测试模式，跳过正式环境的鉴权校验。

内容的提问来源于stack exchange，提问作者Lucas