为何需要将Firebase身份验证令牌兑换为会话Cookie？

为什么要兑换令牌？ #

• 安全隔离与自主权限控制：Firebase的ID令牌由客户端持有，直接用它做后端验证的话，后端每次都得调用Firebase的校验接口，既增加了对外部服务的依赖，还可能因API限流影响服务稳定性。兑换成后端自主生成的会话凭证（比如HttpOnly Cookie）后，后端能自己控制会话有效期、权限范围，不用再依赖外部服务做校验。
• 降低令牌泄露风险：Firebase ID令牌一般存在前端存储（如localStorage），很容易被XSS攻击窃取。换成HttpOnly Cookie后，前端无法直接读取，能大幅减少令牌被盗用的可能。
• 适配业务逻辑需求：后端自己生成的凭证可以携带业务自定义信息（比如用户角色、专属权限组），不用每次都从Firebase令牌里解析提取，能提升接口处理效率。

能不能直接用Firebase令牌做后续验证？ #

可以，但不推荐，核心原因有三点：

• 性能损耗大：每次请求都要调用Firebase Admin SDK的verify_id_token()方法校验，频繁的外部调用会拉长接口响应时间，而且Firebase的API有调用配额，超出后会产生额外费用或触发限流。
• 安全隐患高：前端存储的令牌易被XSS窃取，一旦被盗，攻击者可以直接用这个令牌访问后端接口，直到令牌自然过期。
• 扩展性差：如果后续要更换身份验证服务，或者增加自定义权限逻辑，直接依赖Firebase令牌会导致代码耦合度太高，重构成本极大。

内容的提问来源于stack exchange，提问作者user11631308