未经身份验证的最终用户调用的 Firebase HTTPS 可调用函数

Question

我对调用 firebase 函数(gcp 函数)有疑问。

根据这里:https://firebase.google.com/docs/functions/callable ,
当调用 HTTPS 可调用函数时，functions.https.onCall 触发器会自动反序列化请求正文并验证身份验证 token 。那么在这种情况下，如果一个未经身份验证的最终用户调用了这个函数，这个函数是否被触发？换句话说，我会为此通话付费吗？

Answer 1

确实如此validate您的身份验证 token ，但您的功能对这些身份验证 token 的作用取决于功能。通过验证它们，框架确保无效的身份验证 token 看起来不像经过身份验证的用户。

值得注意的是，the documentation状态:

With callables, Firebase Authentication and FCM tokens, when available, are automatically included in requests.

您问题的关键在于何时可用。

如果验证请求是否通过身份验证对您很重要，那么您需要检查 firebase 在 context 中提供的变量。范围。 (请参阅传入的 CallableContext 对象的 API definition。您可以提取诸如 uid(如函数的第二个参数上的 auth.uid)等内容。

简而言之，该函数肯定会被执行，它是否对未经身份验证的用户执行任何操作取决于它是如何编写的。

您可以放心地期望调用本身仍会计入您的免费套餐配额或作为可计费调用 - 根本没有任何内容表明必须对可调用函数进行身份验证，并且非-经过身份验证的可调用函数(例如，您希望保护数据库的某个部分只能由服务器端代码访问，即使未经身份验证的用户运行它)。