Firebase Admin认证：Firebase Function中获取Token的更优方法咨询

你当前手动拆分Authorization头的方式存在潜在风险——比如当头部格式不符合Bearer <token>规范（比如大小写不一致、空格缺失、前缀错误）时，split操作可能得到无效值甚至报错。Firebase Admin虽然没有直接解析Authorization头的内置函数，但可以通过更健壮的正则匹配或封装验证中间件来优化流程，以下是具体方案：

1. 更可靠的Token提取逻辑 #

使用正则表达式匹配Authorization头，兼容大小写、规范的空格分隔，避免手动拆分的漏洞：

export const hello = onRequest({ cors }, async (request, response) => {
  let token = null;
  const authHeader = request.headers.authorization;
  
  if (authHeader) {
    // 匹配Bearer前缀（不区分大小写），提取后续的token部分
    const matchResult = authHeader.match(/^Bearer\s+([^\s]+)$/i);
    token = matchResult ? matchResult[1] : null;
  }

  if (token) {
    try {
      const tokenData = await getAuth().verifyIdToken(token, true);
      response.send({
        status: 'success',
        data: tokenData.email
      });
    } catch (err) {
      // 处理token无效/过期的情况
      response.status(401).send('Invalid or expired token');
    }
  } else {
    response.status(401).send('Unauthorized');
  }
});

2. 封装可复用的身份验证中间件 #

如果多个云函数都需要身份验证，建议封装中间件来统一处理Token提取与验证，提升代码复用性：

// 封装身份验证中间件
async function authenticate(req, res, next) {
  const authHeader = req.headers.authorization;
  
  if (!authHeader) {
    return res.status(401).send('Unauthorized');
  }

  const matchResult = authHeader.match(/^Bearer\s+([^\s]+)$/i);
  if (!matchResult) {
    return res.status(401).send('Invalid authorization header format');
  }

  try {
    const token = matchResult[1];
    const userData = await getAuth().verifyIdToken(token, true);
    // 将验证后的用户数据挂载到request对象，供后续逻辑使用
    req.user = userData;
    next();
  } catch (err) {
    res.status(401).send('Invalid or expired token');
  }
}

// 使用中间件的云函数
export const hello = onRequest({ cors }, async (request, response) => {
  await authenticate(request, response, async () => {
    // 验证通过后直接使用request.user中的数据
    response.send({
      status: 'success',
      data: request.user.email
    });
  });
});

补充说明 #

• 正则表达式/^Bearer\s+([^\s]+)$/i确保只匹配以Bearer（不区分大小写）开头、后续紧跟一个空格和纯token字符串的头部格式，避免非预期的解析错误。
• 新增try/catch块捕获verifyIdToken可能抛出的异常（比如token过期、签名无效等），能更精准地返回错误信息。

内容的提问来源于stack exchange，提问作者Lasharela