如何提升Firebase Token验证速度？REST API能否使用Cookie？

一、缩短Firebase ID Token验证时间的可行方法 #

1. 启用公钥缓存 #

Firebase验证ID Token时需要拉取谷歌的公钥来校验签名，默认情况下可能每次请求都重新获取公钥，这是导致延迟的主要原因之一。可以给PHP SDK配置持久化缓存（如Redis、Memcached或本地文件缓存）来缓存这些公钥，避免重复网络请求。

实现方式：通过自定义CachedKeyStore对接缓存服务，示例代码如下：

use Firebase\Auth\Token\CachedKeyStore;
use Firebase\Admin\Auth;

// 假设你已经初始化了PSR-6兼容的缓存实例（比如Redis客户端）
$cachedKeyStore = new CachedKeyStore($yourCacheInstance);
$auth = Auth::getInstance();
$auth->setKeyStore($cachedKeyStore);

// 后续调用verifyIdToken时会优先使用缓存的公钥
$verifiedIdToken = $auth->verifyIdToken($idTokenString);

2. 优化服务器网络链路 #

如果你的服务器与谷歌验证服务器的网络延迟过高（比如国内服务器），可以尝试将服务器迁移到离谷歌节点更近的区域（如新加坡、美国西部），或者使用网络加速服务降低跨网延迟。

3. 选择性关闭撤销检查（谨慎使用） #

verifyIdToken默认会检查Token是否被用户主动撤销，这一步需要额外的网络请求。如果你的业务对Token撤销的实时性要求不高，可以关闭该检查来缩短验证时间：

// 第二个参数设为false，跳过撤销检查
$verifiedIdToken = $auth->verifyIdToken($idTokenString, false);

注意：此方法会降低安全性，仅建议在非核心业务场景使用。

二、REST API场景下使用Cookie的替代方案 #

虽然Firebase官方的会话Cookie是为传统网站设计的，但你可以自定义轻量级会话机制，用Cookie替代重复的Firebase Token验证，核心逻辑是将Firebase的一次性验证转换为服务器自身的会话管理：

实现步骤 #

1. 首次验证与Cookie生成
   当客户端第一次携带Firebase ID Token请求API时，完成Firebase验证后，生成包含用户UID、过期时间的会话数据，用服务器密钥对数据签名（比如HMAC-SHA256），将签名后的数据存入安全Cookie返回给客户端。

2. 后续请求快速验证
   客户端后续请求会自动携带该Cookie，服务器只需验证Cookie的签名有效性和过期时间，无需再调用Firebase的验证接口，直接通过会话数据中的UID获取用户信息。

关键安全配置 #

• 给Cookie设置HttpOnly属性，防止前端JavaScript窃取；
• 开启Secure属性，仅在HTTPS连接下传输；
• 根据跨域情况设置SameSite属性：跨域场景设为None，同域场景设为Strict或Lax；
• 会话Cookie的过期时间建议短于Firebase ID Token的默认过期时间（比如30分钟），到期后要求客户端重新用ID Token换取新Cookie；
• 定期轮换签名密钥，降低密钥泄露的风险。

示例代码 #

// 生成会话Cookie（Firebase验证通过后执行）
$uid = $verifiedIdToken->getClaim('sub');
$expires = time() + 1800; // 30分钟过期
$sessionData = json_encode(['uid' => $uid, 'exp' => $expires]);
$signature = hash_hmac('sha256', $sessionData, 'YOUR_SERVER_SECRET');
$cookieValue = base64_encode($sessionData) . '.' . $signature;

// 设置安全Cookie
setcookie(
    'api_session',
    $cookieValue,
    [
        'expires' => $expires,
        'path' => '/',
        'secure' => true,
        'httponly' => true,
        'samesite' => 'None' // 根据跨域情况调整
    ]
);

// 验证会话Cookie（后续请求执行）
if (isset($_COOKIE['api_session'])) {
    list($encodedData, $signature) = explode('.', $_COOKIE['api_session'], 2);
    $sessionData = json_decode(base64_decode($encodedData), true);

    // 检查过期时间
    if ($sessionData['exp'] < time()) {
        http_response_code(401);
        exit('Session expired');
    }

    // 验证签名
    $expectedSignature = hash_hmac('sha256', base64_decode($encodedData), 'YOUR_SERVER_SECRET');
    if (!hash_equals($expectedSignature, $signature)) {
        http_response_code(401);
        exit('Invalid session');
    }

    // 验证通过，使用$sessionData['uid']获取用户数据
} else {
    // 无有效Cookie，返回401要求携带Firebase ID Token
    http_response_code(401);
    exit('Unauthorized');
}

内容的提问来源于stack exchange，提问作者MwBakker