尝试通过 Cloud Scheduler 调用使用 firebase-admin 对服务帐户进行身份验证？错误：Firebase ID 令牌的“iss”颁发者声明不正确

问题描述

我正在尝试验证从 Cloud Scheduler cron 作业对我的服务器（在 Cloud Run 上）发出的 API 调用。

我正在尝试为此使用服务帐户。

注意：这一切都发生在同一个项目中。

参考：

• https://cloud.google.com/scheduler/docs/http-target-auth

这就是我正在做的：

第 1 步 - 创建服务帐户

我去了 https://console.cloud.google.com/apis/credentials 并创建了一个新的服务帐户。我已将该角色指定为 owner。

第 2 步 - 创建 Cron 作业。

我像往常一样去 https://console.cloud.google.com/cloudscheduler 创建 cron 作业。

在 service account 字段中，我已经输入了我的服务帐户电子邮件。在 Audience 字段中，我输入了我的项目 ID，因为在某些时候我收到一个错误，说它期望它是我的项目 ID 的名称。

这是错误：

Firebase ID 令牌的“aud”（受众）声明不正确。预期 "PROJECT_ID"

第 3 步 - 运行作业并识别解码令牌：

这是我服务器上的代码：

import * as admin from "firebase-admin";

admin.initializeApp({
  credential: admin.credential.cert(
    // THIS IS THE DEFAULT FIREBASE-ADMIN SERVICE ACCOUNT
    // THAT IS AUTOMATICALLY CREATED BY FIREBASE
    SERVICE_ACCOUNT as admin.ServiceAccount
)});

// THIS IS THE CODE THAT IS INSIDE MY SERVER TRYING TO VERIFY THE SERVICE ACCOUNT

try {
  const authHeader = req.headers.authorization;
  console.log(`authHeader: ${authHeader}`);
  if (authHeader) {
    const idToken = authHeader.split(" ")[1];   // GETS THE USER ID TOKEN
    const decodedToken = await admin.auth().verifyIdToken(idToken);
    console.log(`decodedToken: ${decodedToken}`);
  }
}

这是我目前遇到的错误：

Firebase ID 令牌的“iss”（颁发者）声明不正确。应为“https://securetoken.google.com/”my-project-id”，但得到“https://accounts.google.com”。确保 ID 令牌来自与过去使用的服务帐户相同的 Firebase 项目验证此 SDK。有关如何检索 ID 令牌的详细信息，请参阅 https://firebase.google.com/docs/auth/admin/verify-id-tokens。

我的做法有什么问题吗？我不应该为此使用 firebase-admin 吗？

我应该使用 google-auth-library 来验证令牌吗？

• https://github.com/googleapis/google-auth-library-nodejs#verifying-id-tokens
• https://developers.google.com/identity/sign-in/web/backend-auth

解决方法

在地狱般的一个早晨试图调试它之后，这是我发现的。

似乎 firebase-admin 的 admin.auth().verifyIdToken() 仅适用于从 firebase SDK 生成的令牌。

我通过直接使用 google-auth-library 使其工作。

我做了以下。

注意：其余代码相同（使用问题中描述的相同服务帐户）：

import { OAuth2Client } from "google-auth-library";

export const apiExpressRouteHandler: RequestHandler = async (req,res) => {
  try {

    const PROJECT_ID = process.env.PROJECT_ID;

    const authHeader = req.headers.authorization;
    if (authHeader) {
      const client = new OAuth2Client(PROJECT_ID);
      const ticket = await client.verifyIdToken({
        idToken: authHeader.split(" ")[1],audience: PROJECT_ID
      });

      // LOGGING ticket PROPERTIES

      console.log(`userId: ${JSON.stringify(ticket.getUserId())}`);
      console.log(`payload: ${JSON.stringify(ticket.getPayload())}`);
      console.log(`envelope: ${JSON.stringify(ticket.getEnvelope())}`);
      console.log(`attributes: ${JSON.stringify(ticket.getAttributes())}`);
    }

    // REST OF THE CODE
  }
} 
catch(err) {
  // ...
}

我不确定用 PROJECT_ID 初始化客户端是否需要 new OAuth2Client(PROJECT_ID);，但它的工作原理是这样的。