Firebase服务账号JSON存FireStore后在安卓调用是否安全？含root风险及替代方案

当前流程是否安全？ #

不安全。服务账号JSON是极高敏感度的凭据，绝对不能在安卓客户端环境中存储或处理——客户端本身属于不可信环境，哪怕你通过FireStore获取后存入单例，也无法避免被逆向分析、内存读取等手段窃取。FireStore的安全规则和App Check只能限制数据的读写权限，但无法阻止凭据落入客户端后被提取。

Root设备能否获取到jsonString或单例中的字符串？ #

完全可以。拥有Root权限的设备可以通过多种方式提取：比如直接dump你的App进程内存，从中解析出单例中的明文JSON；或者通过文件浏览器访问App的数据目录（如果有缓存）；甚至可以用调试工具附加到你的进程，实时读取内存中的字符串内容。哪怕你对JSON做了简单加密，逆向破解加密逻辑也并非难事。

开发与生产环境的更安全凭据方案 #

开发环境 #

• 本地存储服务账号JSON：将JSON文件放在后端项目的本地目录，添加到.gitignore防止提交到版本库，后端代码直接读取本地文件初始化GoogleCredentials。客户端仅调用后端接口发送推送请求，全程不接触敏感凭据。
• 使用Firebase模拟器：借助Firebase Emulator Suite在本地模拟FCM服务，无需使用真实的服务账号凭据，降低开发阶段的风险。

生产环境 #

• 后端统一处理FCM请求：所有推送请求都通过你的后端服务发起，客户端只传递必要参数（如目标设备token、消息内容），后端用服务账号凭据调用FCM HTTP v1 API。这是最安全的方案，彻底隔绝客户端与敏感凭据的接触。
• 借助Secret Manager托管凭据：将服务账号JSON存储在Google Cloud Secret Manager中，后端通过IAM权限控制访问，在需要时动态拉取凭据，避免硬编码或本地存储带来的风险。
• 客户端直接使用Firebase Messaging SDK：如果你的场景是客户端主动发送推送（比如向其他用户发消息），不要用HTTP v1 API，直接集成Firebase Messaging客户端SDK——它会自动处理身份验证，无需你手动管理服务账号JSON。

内容的提问来源于stack exchange，提问作者Kobita