使用Firebase Admin SDK与Express(TypeScript)实现后端认证的最佳方式咨询

问题1：是否应在后端安装常规Firebase SDK来处理认证？ #

完全不需要。常规Firebase SDK是为客户端（Web/移动端）设计的，后端引入它属于冗余操作，还会带来不必要的安全风险——客户端SDK的身份逻辑和后端服务的角色定位不匹配，后端只需要用专门的Firebase Admin SDK即可。

问题2：是否应由前端全权处理认证，后端仅用Firebase Admin SDK验证客户端传来的idToken？ #

这是标准且符合安全最佳实践的方案，也是Firebase官方推荐的模式：

• 前端通过常规Firebase SDK完成登录流程（如邮箱密码、第三方OAuth登录等），登录成功后获取idToken
• 前端发起后端请求时，将idToken放在请求头（例如Authorization: Bearer <idToken>）中传递
• 后端使用Firebase Admin SDK的verifyIdToken()方法验证token：检查签名有效性、是否过期、所属项目匹配性等
• 验证通过后，后端从token中解析出用户UID、邮箱等信息，再进行业务逻辑处理（如权限校验、数据读写）

这种模式下，后端无需存储用户密码或敏感凭证，所有认证逻辑由Firebase托管，既降低了自研认证系统的成本，也避免了凭证泄露的风险。服务端的token验证无法被客户端篡改，能有效保障请求的合法性。

内容的提问来源于stack exchange，提问作者Simo D.