Firebase Auth Gen-2阻塞函数调用Cloud Run遭403认证失败求助

核心原因 #

Firebase Auth阻塞函数调用Cloud Run时，发起请求的服务身份并非你配置的Identity Platform服务代理，而是Firebase Functions为阻塞触发器分配的专用服务账号（或默认App Engine服务账号）。你之前的权限授权对象错误，导致Cloud Run返回403未认证错误。

解决步骤 #

1. 定位实际调用的服务账号

   • 打开Google Cloud Console → Cloud Functions → 找到你的Gen-2阻塞函数 → 切换到「触发器」标签页，查看「服务账号」字段（通常格式为firebase-auth-blocking@<你的项目ID>.iam.gserviceaccount.com）
   • 或用gcloud命令查询：

     gcloud functions describe <你的函数名> --gen2 --region=europe-west1
     

     在输出中找到serviceAccountEmail字段的值。

2. 给目标服务账号授予Cloud Run Invoker权限

   • 打开Cloud Run控制台 → 选择你的目标服务 → 进入「权限」标签页
   • 点击「添加权限」，在「新主体」中填入上述服务账号邮箱，「角色」选择「Cloud Run → Cloud Run Invoker」，保存配置。

3. 验证修复效果

   • 触发一次用户注册/登录操作，检查Cloud Run日志是否返回200状态码
   • 确认Cloud Run的「入口控制」保持为「All」（你已配置，无需修改）

针对疑问的解释 #

为何授权Identity Platform服务代理无效？ #

Firebase Auth阻塞函数的调用链路是：Firebase Auth服务 → Firebase Functions触发器 → Cloud Run服务。实际向Cloud Run发起请求的是Functions的服务账号，而非Identity Platform的服务代理。你之前的权限授予对象错误，导致认证失败。

Gen-2阻塞函数的额外配置要求？ #

• 无需自定义Cloud Run的受众（audience），Gen-2函数会自动处理认证上下文，自定义受众反而会干扰调用逻辑
• 确保阻塞触发器已在Firebase控制台「Authentication → Blocking functions」中正确绑定到目标函数
• 不要保留allUsers或allAuthenticatedUsers的权限绑定，仅保留上述专用服务账号的run.invoker权限即可满足生产环境安全要求

内容的提问来源于stack exchange，提问作者M4trix Dev