您必须遵循 Google 最佳实践，将 Cloud Functions 调用限制为授权服务。您应该怎么做？

正确的做法是创建一个具有 Cloud Functions Invoker 角色（roles/cloudfunctions.invoker）的服务账号，并使用该服务账号来调用函数。Cloud Functions Invoker 角色专门用于授予调用 Cloud Functions 的权限，遵循最小权限原则，确保只有授权的服务才能触发函数。 其他选项不正确的原因： 启用 Identity-Aware Proxy (IAP) 主要用于保护对 Web 应用程序和资源的访问，而不是直接限制服务到服务的 Cloud Functions 调用。 创建一个具有 Cloud Functions Viewer 角色（roles/cloudfunctions.viewer）的服务账号只能查看函数，无法调用函数。 为调用服务创建 OAuth 2.0 客户端 ID 是一种用户认证机制，而非服务到服务认证的最佳实践，且通常需要额外的配置和管理，不如使用服务账号直接授予 Invoker 角色简单和安全。