为什么这个CORS认证的Google Cloud函数在从Firebase认证传递id令牌时返回一个403？

Question

然后通过angular httpclient调用对endpoint进行调用：

const url = 'https://[MY-PROJECT-SUBDOMAIN].cloudfunctions.net/hello_get/';
this.auth.user.getIdToken().then(token => {
    const httpOptions = {
        headers: new HttpHeaders({
            'Authorization': `Bearer ${token}`
        })
    };
    this.http.get(url, httpOptions).subscribe(response => {
        console.log(response);
    }, error => {
        console.error(error);
    });
});

对选项预飞行请求的回应是403，这让我以为谷歌拒绝了我的ID令牌。我在hello_get函数中添加了一个函数日志。似乎函数甚至没有被调用，因为当返回403响应时，这个日志从来没有出现过。

当“cloud Functions Invoker”的函数权限设置为allUsers时，cloud函数通过CORS可以正常工作，但一旦我删除该权限并添加allAuthenticatedUsers的权限，并尝试在cloud函数中传递带有access-control-allow-credentials':'true'的令牌，就会返回一个403。

Answer 1

当使用带有Google Cloud功能的Firebase身份验证时，用户不会通过IAM角色进行身份验证。而是在函数本身内对它们进行身份验证。注意，根据Google的文档，“您将为未经验证的请求计费，因为函数必须完成验证令牌的工作。”要进行此设置：

（1）函数上“Cloud Functions Invoker”的IAM权限需要对所有用户开放（而不是我拥有的allAuthenticatedUsers）。

（2）然后使用firebase_admin的身份验证库（docs,for reference和其他语言）手动完成令牌验证，如下所示：

from firebase_admin import auth

def your_function(request):
    decoded_token = auth.verify_id_token(id_token)
    uid = decoded_token['uid']