在Cloud Functions中生成访问令牌实现服务间认证问题咨询

我之前刚好帮团队处理过几乎一模一样的场景，让我一步步给你讲清楚怎么实现：

首先先补全你提到的服务账号：Firebase Cloud Functions默认使用的服务账号格式是{你的项目ID}@appspot.gserviceaccount.com。接下来核心的问题是怎么获取符合Endpoints要求的认证令牌，下面是具体的实现步骤：

1. 安装必要的依赖 #

在你的Cloud Functions项目目录下，安装Google官方的认证库：

npm install google-auth-library

2. 在Cloud Function中编写认证请求代码 #

这个库会自动帮你从Cloud Functions的运行环境中获取服务账号的凭据，并生成符合要求的ID令牌（服务间认证用ID令牌而非普通访问令牌）。示例代码如下：

const { GoogleAuth } = require('google-auth-library');
const functions = require('firebase-functions');

// 替换成你的Endpoints API的受众（对应OpenAPI配置里的x-google-audience）
const ENDPOINTS_AUDIENCE = 'https://your-endpoints-api-domain.com';
// 替换成你要调用的具体API路径
const TARGET_API_URL = 'https://your-endpoints-api-domain.com/api/v1/your-resource';

exports.callSecuredEndpointsAPI = functions.https.onRequest(async (req, res) => {
  try {
    // 初始化认证客户端，指定目标受众
    const auth = new GoogleAuth();
    const idTokenClient = await auth.getIdTokenClient(ENDPOINTS_AUDIENCE);

    // 发送带认证令牌的请求
    const apiResponse = await idTokenClient.request({
      url: TARGET_API_URL,
      method: 'GET' // 根据你的API需求替换成POST/PUT等
    });

    // 返回API响应结果
    res.status(200).json(apiResponse.data);
  } catch (error) {
    functions.logger.error('调用Endpoints API失败:', error);
    res.status(500).send('服务内部错误');
  }
});

3. 确认OpenAPI配置的正确性 #

确保你的Cloud Endpoints OpenAPI配置中的安全定义已经正确关联了这个服务账号，示例配置片段如下：

swagger: "2.0"
info:
  title: "你的API名称"
  version: "1.0.0"
securityDefinitions:
  google_id_token:
    type: "oauth2"
    flow: "implicit"
    authorizationUrl: ""
    x-google-issuer: "{你的项目ID}@appspot.gserviceaccount.com"
    x-google-jwks_uri: "https://www.googleapis.com/service_accounts/v1/metadata/x509/{你的项目ID}@appspot.gserviceaccount.com"
    x-google-audience: "https://your-endpoints-api-domain.com"
security:
  - google_id_token: []

额外注意事项 #

• 不需要手动创建或存储令牌：google-auth-library会自动处理令牌的获取、缓存和刷新，你不用关心细节。
• 权限验证：只要你的OpenAPI配置中的颁发者（x-google-issuer）和受众（x-google-audience）与代码中的设置匹配，Endpoints就会自动验证令牌的合法性，不需要额外给服务账号配置IAM权限（除非你的API本身有资源级别的权限控制）。
• 本地测试：你可以用firebase emulators:start在本地测试，但需要设置GOOGLE_APPLICATION_CREDENTIALS环境变量指向你的服务账号密钥文件，否则无法生成有效令牌。

内容的提问来源于stack exchange，提问作者Mr. Blockchain