Firebase Auth自定义声明：客户端校验Pro会员资格是否安全？

核心结论 #

• 未订阅用户无法在客户端篡改自定义声明的值（比如把pro_membership改成true）
• 但仅靠客户端校验声明不足以保障生产环境的权限安全，必须配合后端校验

为什么用户没法篡改声明？ #

自定义声明是嵌入在Firebase ID Token中的，这个Token是Firebase Auth服务签发的JWT（JSON Web Token），带有服务端的数字签名。客户端SDK在获取getIdTokenResult()时，会自动验证Token的签名完整性——一旦有人篡改声明内容，签名就会失效，SDK会直接拒绝这个Token，客户端根本拿不到篡改后的声明值。

为什么客户端校验不安全？ #

虽然声明本身没法篡改，但客户端的逻辑是完全暴露的。用户可以通过调试工具、修改本地代码等方式，直接跳过声明校验逻辑（比如直接调用会员功能的代码）。举个例子，你用客户端代码判断pro_membership为true才显示付费内容，但用户完全可以绕过这个判断，直接访问内容入口。

所以客户端的声明校验只适合做UI层面的展示控制（比如切换普通用户/会员界面），真正的权限校验必须放在后端：

• 如果你用Cloud Functions处理业务逻辑，在函数中通过context.auth.token.pro_membership来判断用户权限
• 如果是自己的服务器，需要先验证ID Token的合法性，再读取其中的声明值

示例补充：后端校验（Cloud Functions） #

exports.accessPremiumContent = functions.https.onCall((data, context) => {
  // 先验证用户是否已登录
  if (!context.auth) {
    throw new functions.https.HttpsError('unauthenticated', '用户未登录');
  }

  // 校验会员声明
  if (!context.auth.token.pro_membership) {
    throw new functions.https.HttpsError('permission-denied', '非会员无法访问');
  }

  // 处理付费内容逻辑
  return { content: '专属会员内容' };
});

原客户端代码的合理用途 #

你提供的客户端代码适合用来切换UI展示，比如：

firebase.auth().currentUser.getIdTokenResult()
  .then((idTokenResult) => {
     // 根据声明切换UI，仅做展示用
     if (!!idTokenResult.claims.pro_membership) {
       showPremiumUI();
     } else {
       showRegularUI();
     }
  })
  .catch((error) => {
    console.log(error);
  });

内容的提问来源于stack exchange，提问作者aabdulahad