基于Firebase Auth在NextJS中实现多用户角色权限系统

核心思路 #

不用修改现有Firebase Auth登录逻辑，直接复用你已有的MongoDB存储用户角色与Firebase uid的映射关系，通过Next API层做权限校验，完全贴合当前技术栈，零额外工具引入成本。

具体迁移步骤 #

• 1. 扩展MongoDB数据结构
  在MongoDB中新增user_roles集合（或直接在现有用户数据集合中添加role字段），文档结构如下：

  {
    uid: "firebase-auth-user-uid", // 关联Firebase Auth的用户唯一ID
    role: "admin" | "moderator" | "user", // 支持多级角色
    createdAt: ISODate("2024-05-20T00:00:00Z")
  }
  

  对现有存量用户，批量设置默认角色为user；新用户注册成功后，自动在MongoDB中插入对应user角色的记录。

• 2. 在Next API中加入权限校验逻辑
  所有涉及文章发布/编辑的接口，先通过Firebase Auth SDK验证用户身份获取uid，再从MongoDB查询该用户的角色，最后根据角色判断操作权限：

  • 普通用户（user）：仅能发布、编辑自己的文章
  • 版主（moderator）：可发布、编辑所有文章
  • 管理员（admin）：拥有所有权限，包括角色管理

• 3. 新增角色管理接口（仅Admin可访问）
  编写Next API接口（如/api/admin/assign-role），用于给用户分配/修改角色。接口逻辑：先校验调用者的角色为admin，再更新MongoDB中目标用户的角色记录。

• 4. 前端适配角色渲染
  根据后端返回的用户角色，渲染对应权限的操作按钮（比如Admin显示用户管理入口，Moderator显示全局文章编辑按钮）。

工具选择建议 #

• 优先使用现有技术栈：直接用MongoDB+Firebase Auth SDK即可，无需引入Firestore或Identity Platform。
  • Firebase Auth SDK：继续负责身份验证（token校验、获取用户uid），完全保留现有登录逻辑。
  • MongoDB：存储角色映射关系，和你现有文章等数据统一管理，避免多数据库维护成本。
• 为什么不选Firestore？ 你已经在用MongoDB，没必要额外引入新数据库增加复杂度。
• 为什么不选Identity Platform？ 它是Firebase Auth的企业级扩展，主打多身份提供商集成、合规管控等，你的需求仅为角色权限划分，用现有数据库更轻量，无需重构现有登录流程。

关键代码示例（Next API权限校验） #

import { getAuth } from "firebase-admin/auth";
import { MongoClient } from "mongodb";

// 确保Firebase Admin单例初始化（可抽离到单独文件）
let adminAuth;
if (!adminAuth) {
  const admin = require("firebase-admin");
  admin.initializeApp({
    credential: admin.credential.cert(JSON.parse(process.env.FIREBASE_SERVICE_ACCOUNT)),
  });
  adminAuth = getAuth();
}

export default async function handler(req, res) {
  // 1. 验证Firebase Auth Token
  const authToken = req.headers.authorization?.split("Bearer ")[1];
  if (!authToken) return res.status(401).json({ error: "Unauthorized" });

  try {
    const decodedToken = await adminAuth.verifyIdToken(authToken);
    const uid = decodedToken.uid;

    // 2. 连接MongoDB查询用户角色
    const client = await MongoClient.connect(process.env.MONGODB_URI);
    const db = client.db();
    const userRole = await db.collection("user_roles").findOne({ uid });
    const role = userRole?.role || "user"; // 默认普通用户

    // 3. 权限判断示例：编辑文章
    const articleId = req.query.id;
    const article = await db.collection("articles").findOne({ _id: articleId });
    
    // 普通用户仅能编辑自己的文章，Admin/Moderator可编辑所有
    if (role !== "admin" && role !== "moderator" && article.authorUid !== uid) {
      return res.status(403).json({ error: "Permission denied" });
    }

    // 4. 执行编辑操作
    await db.collection("articles").updateOne(
      { _id: articleId },
      { $set: req.body.data }
    );

    res.status(200).json({ success: true });
  } catch (error) {
    res.status(500).json({ error: error.message });
  }
}

注意事项 #

• 权限校验必须放在后端（Next API），不能仅依赖前端判断，防止恶意用户篡改前端代码绕过权限。
• 对Firebase Admin初始化做单例处理，避免NextJS冷启动时重复初始化。
• 批量设置存量用户角色时，可通过MongoDB批量写入操作完成，无需手动处理。

内容的提问来源于stack exchange，提问作者Horkos