如何为基于Firebase Admin Firestore的GET API整合用户认证，实现用户仅能访问自身数据

嘿，我来帮你搞定这个认证整合的问题！作为编程新手，Firebase Auth的验证流程确实容易懵，我一步步给你拆解，帮你写出符合需求的API。

首先咱们先明确几个前提：

• 你已经在项目里初始化了Firebase Admin SDK（包含Auth和Firestore模块）
• 前端调用这个API时，会在请求头里带上Firebase生成的ID Token（格式为 Bearer <token>）

下面是修改后的完整API代码，我加了详细注释帮你理解每一步：

// 假设你已经完成Firebase Admin初始化：
// const admin = require('firebase-admin');
// admin.initializeApp();

app.get("/", async (req, res) => {
  try {
    // 1. 从请求头提取认证令牌
    const authHeader = req.headers.authorization;
    if (!authHeader || !authHeader.startsWith('Bearer ')) {
      return res.status(401).send('未提供有效的认证令牌');
    }
    const idToken = authHeader.split('Bearer ')[1];

    // 2. 验证令牌合法性，获取用户唯一UID
    const decodedToken = await admin.auth().verifyIdToken(idToken);
    const uid = decodedToken.uid;
    if (!uid) {
      return res.status(401).send('无法获取用户身份信息');
    }

    // 3. 查询当前用户专属的Firestore数据
    // 这里假设你的数据结构是：users集合下，文档ID等于用户UID
    // 如果你的结构是用户有独立子集合（比如users/{uid}/records），可以改成：
    // const snapshot = await admin.firestore().collection('users').doc(uid).collection('records').get();
    const userDoc = await admin.firestore().collection('users').doc(uid).get();

    if (!userDoc.exists) {
      return res.status(404).send('未找到该用户的数据');
    }

    // 4. 整理数据格式并返回
    const responseData = {
      records: [{
        id: userDoc.id,
        ...userDoc.data()
      }]
    };
    res.status(200).json(responseData);
  } catch (error) {
    // 统一处理错误：令牌过期/无效、Firestore查询失败等
    console.error('请求处理出错:', error);
    res.status(401).send('认证失败或请求错误');
  }
});

关键逻辑说明： #

• 令牌验证：通过admin.auth().verifyIdToken()确认前端传来的令牌有效，同时拿到用户的唯一标识UID，这是权限控制的核心依据。
• 权限隔离：只用当前用户的UID作为查询条件，确保用户只能访问自己的数据，完全避免了获取其他用户信息的可能。
• 错误兜底：覆盖了令牌缺失、无效、用户数据不存在等场景，返回对应的HTTP状态码，方便前端做错误提示。

额外提示： #

• 前端调用API前，需要先通过Firebase Auth完成用户登录，拿到ID Token后，在请求头里添加Authorization: Bearer <用户的ID Token>。
• 如果你的Firestore数据结构和假设的不同，只需要修改第3步的查询代码即可，核心逻辑都是用UID锁定用户专属数据。

内容的提问来源于stack exchange，提问作者Aaron