Firebase Functions v2 onCall返回401未授权问题求助

问题背景 #

部署在Cloud Run上的Firebase Functions v2（Node.js 18/20）onCall可调用函数出现401未授权错误：

Error: 401 Unauthorized 'The request was not authorized to invoke this service.'

已确认以下信息：

• 客户端已登录且令牌已刷新，调用流程合规
• 服务端日志显示request.auth有效（非null）
• Cloud Run服务账号已配置Cloud Run Invoker IAM角色

客户端代码：

const searchActivitiesFunction = httpsCallable(functions, "searchActivities");
const result = await searchActivitiesFunction({ query, userLocation });

服务端代码：

export const searchActivities = onCall(
  { region: "europe-west1", timeoutSeconds: 60 },
  async (request: CallableRequest<any>) => {
    console.log("Auth context received:", request.auth);
    // request.auth is valid (not null)
    // function logic...
    return searchResults;
  }
);

社区调研发现，为allUsers分配Cloud Run Invoker角色可解决问题，但会将函数设为公开。现针对以下问题解答：

问题解答 #

1. 这是否是Firebase Auth搭配Functions v2 onCall场景下的唯一可行方案？ #

不是唯一方案，但属于最直接且官方隐含推荐的简化方案。Firebase Functions v2的onCall机制依赖框架内部完成Firebase Auth令牌验证，但Cloud Run的IAM系统无法直接识别Firebase Auth令牌——即使客户端携带了有效令牌，Cloud Run仍会拦截请求。因此需要先通过allUsers开放访问，再由Functions框架完成用户身份的校验（也就是你看到的request.auth有效）。

2. 是否有官方支持的方法可保留onCall特性且不使用allUsers？ #

目前官方没有直接支持的替代方案能完全保留onCall的自动令牌解析、标准化错误处理等特性。如果不想开放allUsers，只能采用折衷方案，但会损失onCall的便捷性：

• 手动配置Cloud Run IAM，仅允许特定Firebase Auth用户/组访问，但需要自行编写逻辑将Firebase令牌转换为Cloud Run IAM可识别的身份，本质上接近REST+手动令牌验证模式，不符合你的需求。
• 结合Firebase App Check与自定义IAM条件，但App Check令牌无法直接用于Cloud Run IAM授权，需要额外中间层验证，复杂度较高。

3. 若使用allUsers，是否建议搭配App Check强制验证以保障安全？ #

非常建议搭配App Check。开放allUsers后，虽然Functions框架会验证Firebase Auth令牌，但仍可能面临恶意请求（比如伪造未授权令牌、批量攻击）。启用App Check后，只有通过App Attest/Play Integrity/Recaptcha验证的官方客户端才能发起请求，结合Firebase Auth的用户验证，形成双重安全屏障：

• App Check确保请求来自合法应用
• Firebase Auth确保请求来自已授权用户

这种组合既保留了onCall的便捷性，又能有效降低安全风险。

内容的提问来源于stack exchange，提问作者Alexis C. Gridel