NextJS项目中安全存储Firebase Admin SDK JSON文件的方法

方案一：直接存放JSON文件到项目根目录 #

• 将Firebase Admin的密钥JSON文件（比如命名为firebase-admin-key.json）放在项目根目录，不要放到/public目录。Next.js只会对外暴露/public和路由相关目录（如/app、/pages）的内容，根目录下的其他文件不会被打包到客户端代码中，仅服务器端可读取。
• 务必在.gitignore文件中添加一行firebase-admin-key.json，防止密钥文件被提交到代码仓库泄露。
• 服务器端初始化Admin SDK的示例代码：

  import admin from "firebase-admin";
  import serviceAccount from "../firebase-admin-key.json";
  
  if (!admin.apps.length) {
    admin.initializeApp({
      credential: admin.credential.cert(serviceAccount)
    });
  }
  
  export default admin;
  

方案二：将JSON内容拆解到环境变量（更推荐，避免文件管理） #

你之前误以为无法将JSON密钥整合到.env.local，实际上可以把JSON中的每个字段映射为环境变量：

1. 在项目根目录的.env.local中添加以下内容（替换为你的密钥信息）：

   FIREBASE_ADMIN_TYPE=service_account
   FIREBASE_ADMIN_PROJECT_ID=你的项目ID
   FIREBASE_ADMIN_PRIVATE_KEY_ID=你的私钥ID
   FIREBASE_ADMIN_PRIVATE_KEY="-----BEGIN PRIVATE KEY-----\n你的私钥内容\n-----END PRIVATE KEY-----\n"
   FIREBASE_ADMIN_CLIENT_EMAIL=你的客户端邮箱
   FIREBASE_ADMIN_CLIENT_ID=你的客户端ID
   FIREBASE_ADMIN_AUTH_URI=https://accounts.google.com/o/oauth2/auth
   FIREBASE_ADMIN_TOKEN_URI=https://oauth2.googleapis.com/token
   FIREBASE_ADMIN_AUTH_PROVIDER_X509_CERT_URL=https://www.googleapis.com/oauth2/v1/certs
   FIREBASE_ADMIN_CLIENT_X509_CERT_URL=你的客户端证书URL
   

   注意：私钥中的换行符需要替换为\n，否则读取时会格式错误。
2. 服务器端通过环境变量构建配置初始化SDK：

   import admin from "firebase-admin";
   
   if (!admin.apps.length) {
     admin.initializeApp({
       credential: admin.credential.cert({
         type: process.env.FIREBASE_ADMIN_TYPE,
         projectId: process.env.FIREBASE_ADMIN_PROJECT_ID,
         privateKeyId: process.env.FIREBASE_ADMIN_PRIVATE_KEY_ID,
         privateKey: process.env.FIREBASE_ADMIN_PRIVATE_KEY.replace(/\\n/g, '\n'),
         clientEmail: process.env.FIREBASE_ADMIN_CLIENT_EMAIL,
         clientId: process.env.FIREBASE_ADMIN_CLIENT_ID,
         authUri: process.env.FIREBASE_ADMIN_AUTH_URI,
         tokenUri: process.env.FIREBASE_ADMIN_TOKEN_URI,
         authProviderX509CertUrl: process.env.FIREBASE_ADMIN_AUTH_PROVIDER_X509_CERT_URL,
         clientX509CertUrl: process.env.FIREBASE_ADMIN_CLIENT_X509_CERT_URL,
       }),
     });
   }
   
   export default admin;
   

关键安全注意事项 #

• 所有涉及Admin SDK的代码必须在服务器端环境运行，比如API路由、getServerSideProps、Server Components等，绝对不能在客户端组件中使用这些密钥或初始化代码，避免泄露。
• .env.local文件默认会被Next.js的.gitignore排除，不要手动移除这个规则，确保环境变量不会被提交到代码仓库。

内容的提问来源于stack exchange，提问作者Adam El Taha