Firebase实时数据库：用户认证与Node.js+Express服务端请求方案

问题背景 #

原React客户端通过以下代码获取当前认证用户：

const unsubscribe = onAuthStateChanged(auth, (user) => {
    setCurrentUser(user);
});

实时数据库规则设置为：

request.auth != null

现计划将Firebase相关逻辑迁移至Node.js + Express服务端，已安装Firebase SDK，存在以下疑问及对应解答：

1. 服务端使用Firebase普通认证函数是否安全？ #

绝对不安全，也完全不适合服务端多并发场景。

• Firebase普通客户端SDK的认证状态是全局单例设计，仅适用于单用户的客户端环境。当服务端同时处理多个用户的并发请求时，不同请求的用户身份会互相覆盖，出现A用户请求用B用户身份执行操作的严重问题。
• 服务端正确的身份验证逻辑应该是：客户端登录后通过user.getIdToken()获取ID Token，每次请求服务端时将Token放在Authorization: Bearer <ID_TOKEN>请求头中；服务端拿到Token后验证其合法性，以此确认用户身份。

2. 认证后如何向实时数据库及Firestore发送认证请求执行CRUD操作？ #

如果坚持不用firebase-admin SDK，推荐用Firebase REST API实现：

• 验证客户端传来的ID Token合法后，调用实时数据库/Firestore的REST接口，将ID Token放在请求的Authorization头中（格式为Bearer <ID_TOKEN>），这样Firebase会自动验证用户身份，符合你设置的request.auth != null规则时允许操作。
• 不要尝试用普通客户端SDK在服务端做并发操作，其单例设计会导致身份串号，完全不可行。

3. 若必须使用firebase-admin SDK，正确的使用方式是什么？ #

firebase-admin SDK权限极高，必须严格管控：

• 密钥安全第一：将admin服务账号密钥（firebase-adminsdk.json）通过环境变量加载，绝对不能提交到代码仓库，也不能泄露给任何外部人员；定期轮换密钥。
• 先验权再操作：服务端收到请求后，先调用admin.auth().verifyIdToken(idToken)验证客户端传来的ID Token，拿到用户UID和权限信息；随后在代码中复刻你原来的数据库规则逻辑（比如仅允许用户读写自己UID对应的节点/文档），再执行CRUD操作——admin SDK默认绕过数据库规则，所以权限校验必须在服务端代码里实现。
• 最小权限原则：不要用admin SDK执行超出业务需求的操作，比如只允许用户修改自己的资料，就不要让服务端有修改其他用户资料的代码逻辑。

内容的提问来源于stack exchange，提问作者Shourya Shikhar