如何实现Firebase Admin SDK免服务账号调用Firestore并关联用户至审计日志？

一、为审计日志补充用户身份信息的可行方案 #

用服务账号调用Firestore时，审计日志默认只会记录服务账号身份，不会关联发起请求的前端用户，可通过以下方式补全用户信息：

1. 解析用户ID Token并关联日志 #

后端接收用户请求时，先解析前端传来的ID Token获取用户UID，再在Firestore操作前后，手动记录包含用户UID、操作详情的自定义日志，同时关联官方审计日志的请求ID：

// 解析用户ID Token拿到UID
const { uid } = await admin.auth().verifyIdToken(idToken);
// 执行Firestore操作
const docRef = admin.firestore().collection('data').doc('doc1');
const operationRes = await docRef.set({ content: 'test' });
// 记录带用户标识的自定义日志
console.log(JSON.stringify({
  userId: uid,
  firestoreAction: 'document_set',
  documentPath: 'data/doc1',
  requestId: operationRes.metadata.requestId
}));

后续可通过Cloud Logging的查询功能，用requestId将自定义日志与官方审计日志关联，追踪到具体操作的用户。

2. 在Firestore文档中嵌入用户标识 #

写入数据时强制添加createdBy/updatedBy字段存储用户UID，配合安全规则确保字段合法性：

// 后端写入时附加用户UID
await docRef.set({
  content: 'test',
  updatedBy: uid
});

对应的Security Rules：

match /data/{docId} {
  allow write: if request.resource.data.updatedBy == request.auth.uid;
}

这种方式虽不直接写入审计日志，但可通过文档字段追溯操作人，再结合审计日志的服务账号记录完成关联。

二、不使用服务账号调用Firebase Admin SDK的说明 #

Firebase Admin SDK面向服务器端特权环境设计，官方仅支持两种认证方式：

• 服务账号密钥文件
• Google Cloud默认应用凭据（适用于GCP托管服务，本质仍是服务账号）

官方明确不支持用用户OAuth 2.0刷新令牌连接Firestore，因此无法直接以用户身份初始化Admin SDK。若要以用户身份操作Firestore，建议直接使用客户端SDK（Web/iOS/Android），前端通过用户ID Token认证后调用，此时审计日志会记录用户UID。

若必须在后端执行，只能通过前端传递ID Token，后端验证用户身份后模拟权限操作，但审计日志仍会记录服务账号，需结合上述自定义日志方案补充用户信息。

内容的提问来源于stack exchange，提问作者serg