如何让Google Cloud Functions仅允许特定URL访问？

我来帮你解决这个问题！Google Cloud Function默认是公开可访问的，要限制它只对myWebsite.com或localhost开放，主要有几种实用的方式，我给你详细讲讲：

方法一：在函数代码中直接校验请求来源（最快捷） #

这是最直接的方式，通过检查请求头里的Origin或Referer字段，判断请求是否来自允许的域名。我给你两个常用运行时的示例：

Node.js 示例 #

exports.restrictedFunction = (req, res) => {
  // 这里填上你允许的域名，本地端口根据实际情况调整
  const allowedOrigins = ['https://myWebsite.com', 'http://localhost:3000', 'http://localhost:8080'];
  const origin = req.get('Origin');
  const referer = req.get('Referer');

  let isAllowed = false;
  // 先检查Origin头（跨域请求通常会带这个）
  if (origin && allowedOrigins.includes(origin)) {
    isAllowed = true;
  } 
  // 如果没有Origin，检查Referer头（同域请求可能只带这个）
  else if (referer) {
    const refererDomain = new URL(referer).origin;
    isAllowed = allowedOrigins.includes(refererDomain);
  }

  if (!isAllowed) {
    res.status(403).send('Forbidden: 仅允许指定域名访问');
    return;
  }

  // 这里写你原本的业务逻辑
  res.status(200).send('数据内容...');
};

Python 示例 #

from flask import request, abort

def restricted_function(request):
    allowed_origins = ['https://myWebsite.com', 'http://localhost:3000', 'http://localhost:8080']
    origin = request.headers.get('Origin')
    referer = request.headers.get('Referer')
    
    is_allowed = False
    if origin and origin in allowed_origins:
        is_allowed = True
    elif referer:
        # 从Referer中提取域名部分
        referer_url_parts = request.url.split('://')[1].split('/')[0]
        referer_origin = f"{request.url.split('://')[0]}://{referer_url_parts}"
        is_allowed = referer_origin in allowed_origins
    
    if not is_allowed:
        abort(403, description="Forbidden: 仅允许指定域名访问")
    
    # 原有业务逻辑
    return "数据内容...", 200

注意：Origin和Referer头存在被伪造的可能，如果你的函数处理敏感数据，建议搭配API密钥、OAuth身份验证等方式一起使用，提升安全性。

方法二：结合Firebase Hosting（如果你的网站用Firebase托管） #

如果myWebsite.com是用Firebase Hosting托管的，那可以直接通过配置转发规则，让Cloud Function只接收来自Firebase Hosting的请求，外部直接访问函数URL会被拒绝。

只需要在项目根目录的firebase.json里添加如下配置：

{
  "hosting": {
    "public": "public",
    "rewrites": [
      {
        "source": "/你的函数路径",
        "function": "restrictedFunction"
      }
    ]
  }
}

部署后，只有通过myWebsite.com访问该路径的请求会转发到你的函数，直接访问函数的公网URL会返回403。

方法三：使用VPC+负载均衡（生产环境进阶方案） #

如果不想在代码里写校验逻辑，或者需要更严格的访问控制，可以把Cloud Function设置为私有，然后通过Cloud Load Balancer来做域名白名单：

• 第一步：将Cloud Function配置为私有，仅允许VPC内部访问
• 第二步：创建Cloud Load Balancer，配置HTTP(S)转发规则，添加允许的域名（myWebsite.com）到访问控制列表
• 第三步：本地开发时，可以通过VPN连接到VPC内部访问函数，或者单独配置本地IP的白名单

这个方案配置稍复杂，但适合大型生产环境，能把访问控制逻辑和业务代码解耦。

内容的提问来源于stack exchange，提问作者sdfsdf