在Google Cloud部署Spring Boot并复用Firebase SSL证书方案咨询

核心前提：Firebase SSL证书的复用限制 #

• 若你的域名使用Firebase自动颁发的Google管理SSL证书，Firebase不会提供证书私钥的下载权限，这类证书仅能通过Firebase的CDN/托管服务使用，无法直接复用在其他GCP服务中。
• 仅当你是自行上传的SSL证书到Firebase时，才能保留证书文件（公钥.crt+私钥.key），这类证书可直接复用。

可行方案 #

方案1：Compute Engine + Nginx反向代理（仅适用于自行上传的SSL证书） #

这个方案需要你持有证书的完整文件，通过Nginx实现HTTPS终止并反向代理到Spring Boot应用：

1. 准备证书文件：使用你当初上传到Firebase的.crt和.key文件，若未备份则无法使用此方案。
2. 部署Spring Boot应用：在Compute Engine实例上启动Spring Boot服务，监听本地端口（如8080），确保实例防火墙开放443（HTTPS）和80（HTTP）端口。
3. 配置Nginx：
   • 安装Nginx后，将证书文件上传到实例的/etc/nginx/ssl/目录（自行创建）。
   • 创建或修改Nginx站点配置文件（如/etc/nginx/sites-available/your-domain.conf）：

server {
    listen 443 ssl;
    server_name your-domain.com;

    ssl_certificate /etc/nginx/ssl/your-domain.crt;
    ssl_certificate_key /etc/nginx/ssl/your-domain.key;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    # 反向代理后端API请求
    location /api {
        proxy_pass http://localhost:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }

    # 前端请求转发到Firebase托管（实现同域名访问）
    location / {
        proxy_pass https://your-firebase-project.web.app;
        proxy_set_header Host $host;
    }
}

# HTTP重定向到HTTPS
server {
    listen 80;
    server_name your-domain.com;
    return 301 https://$host$request_uri;
}

• 启用配置并重启Nginx：

  sudo ln -s /etc/nginx/sites-available/your-domain.conf /etc/nginx/sites-enabled/
  sudo nginx -t
  sudo systemctl restart nginx
  

4. 域名解析：将域名A记录指向Compute Engine实例的静态公网IP。

方案2：Firebase Hosting重写转发API（无需下载证书） #

此方案无需获取Firebase证书，所有请求先经过Firebase托管的HTTPS层，再将API请求转发到后端Spring Boot服务，适合Firebase自动颁发证书的场景：

1. 修改Firebase托管配置：在项目根目录的firebase.json中添加重写规则：

{
  "hosting": {
    "public": "dist",
    "rewrites": [
      {
        "source": "/api/**",
        "destination": "https://your-spring-boot-service/**" // 替换为后端服务的公网地址
      },
      {
        "source": "**",
        "destination": "/index.html"
      }
    ]
  }
}

2. 确保后端可访问：若部署在Compute Engine，需开放对应端口并设置防火墙规则；若部署在App Engine，确保服务为公开状态。
3. 重新部署Firebase Hosting：执行firebase deploy --only hosting完成配置更新。

方案3：App Engine部署Spring Boot（自带SSL，无需复用证书） #

App Engine会自动为绑定的自定义域名提供Google管理的SSL证书（与Firebase证书同源），无需额外配置负载均衡：

1. 绑定自定义域名：在App Engine控制台添加你的域名，Google会自动完成SSL证书的颁发和配置。
2. 部署Spring Boot应用：编写app.yaml配置文件（以Java灵活环境为例）：

runtime: java17
env: flex
service: spring-boot-api

handlers:
- url: /.*
  script: auto

3. 部署服务：使用gcloud app deploy命令将Spring Boot应用部署到App Engine。
4. 可选：结合Firebase重写：同方案2，通过Firebase Hosting将前端API请求转发到App Engine服务地址，实现同域名访问。

关于Firebase SSL证书的获取说明 #

• 自行上传的证书：直接使用你当初上传的.crt和.key文件，Firebase不会存储私钥，需自行备份。
• Firebase自动颁发的证书：Firebase不提供证书及私钥的下载入口，这类证书由Google托管，仅能通过Firebase服务使用，无法导出复用。

内容的提问来源于stack exchange，提问作者LJR