Cloud Function func_display 必须调用 func_query；确保 func_query 只接受来自 func_display 的调用，并遵循 Google 最佳实践。您应该怎么做？

正确答案遵循了 Google Cloud 的最佳实践，即使用服务账号和 IAM 进行细粒度访问控制。使 funcquery 需要身份验证，并为 funcdisplay 分配一个具有 Cloud Functions Invoker 角色的唯一服务账号，确保只有 funcdisplay 能够调用 funcquery。funcdisplay 在调用 funcquery 时生成并包含 ID 令牌，这是进行服务到服务认证的标准方法。 第一个选项（传递令牌）安全性较低，因为令牌可能被泄露或猜测，不符合最佳实践。第三和第四个选项（VPC 和防火墙规则）虽然可以限制网络访问，但无法在应用层提供身份验证和授权，且 Cloud Functions 默认是无服务器的，直接配置 VPC 内部流量和防火墙规则不如 IAM 灵活和推荐。