Gcp支持从firebase绑定服务账号？

Question

我在 firebase(angular) 中托管一个 webapp，它触发了谷歌云函数中的一些函数，出于某种安全原因，我们可能使用注册服务帐户调用这个函数，问题是，angular 应该包含这个服务帐户（json 文件), 在 gcp 前验证？

对于调用 API/FUNCTION 的每个用户，使用单个令牌可能只是一个很好的实践？

Answer 1

您绝对不应在您的 web 和移动应用程序中包含服务帐户。 这是一个巨大的安全漏洞。 服务帐户旨在验证安全的后端到支持的通信。 将一个公之于众基本上是说您希望任何人都能够随时调用您的 function（并可能执行该帐户被授权执行的任何其他操作）。

相反，您应该使用Firebase 身份验证来识别您的用户，并授权他们使用您的后端功能。 您可以使用 Firebase Admin SDK 来验证注册用户是否正在调用 function ，以及该用户是否具有调用它所需的权限。