如何从客户端传递tokenID至服务端中间件并实现Firebase身份验证？

一、如何从客户端传递ID Token到后端中间件 #

最常用且规范的方式是通过请求头传递Token，具体实现如下：

客户端传递Token示例（Web端） #

先获取当前登录用户的ID Token，再将其放入Authorization请求头中：

// 确保用户已登录，获取ID Token（forceRefresh设为true可强制刷新Token）
firebase.auth().currentUser.getIdToken(true)
  .then((idToken) => {
    // 发起API请求时携带Token
    fetch('/', {
      method: 'GET',
      headers: {
        'Authorization': `Bearer ${idToken}`
      }
    });
  })
  .catch((error) => {
    // 处理Token获取失败逻辑
  });

后端中间件读取Token #

修改你的CheckLoggedIn中间件，从请求头中提取并验证Token：

function CheckLoggedIn(req, res, next) {
  // 从Authorization头中提取Bearer Token
  const authHeader = req.headers.authorization;
  if (!authHeader || !authHeader.startsWith('Bearer ')) {
    return res.status(401).json({ error: "Access denied: No valid token provided" });
  }
  const idToken = authHeader.split(' ')[1]; // 分离出Bearer后的Token字符串

  getAuth()
    .verifyIdToken(idToken)
    .then((decodedToken) => {
      // 可将解码后的用户信息挂载到req对象，供后续路由使用
      req.user = decodedToken;
      next();
    })
    .catch((error) => {
      return res.status(401).json({ error: "Access denied: Invalid token" });
    });
}

// 路由使用保持不变
app.get('/', CheckLoggedIn, (req, res) => {
  res.send('logged in')
});

二、Firebase Authentication的更优实现方案 #

1. 用异步/await简化代码 #

替代Promise回调，让代码逻辑更清晰易读：

async function CheckLoggedIn(req, res, next) {
  const authHeader = req.headers.authorization;
  if (!authHeader || !authHeader.startsWith('Bearer ')) {
    return res.status(401).json({ error: "Access denied: No valid token provided" });
  }
  const idToken = authHeader.split(' ')[1];

  try {
    const decodedToken = await getAuth().verifyIdToken(idToken);
    req.user = decodedToken;
    next();
  } catch (error) {
    return res.status(401).json({ error: "Access denied: Invalid token" });
  }
}

2. 细化权限控制 #

如果需要针对不同用户角色做API访问限制，可以在Token解码后检查自定义Claims（需提前在Firebase控制台或后端为用户设置）：

async function CheckAdmin(req, res, next) {
  // ... 前面的Token验证逻辑
  const decodedToken = await getAuth().verifyIdToken(idToken);
  
  // 检查用户是否拥有admin角色
  if (!decodedToken.admin || decodedToken.admin !== true) {
    return res.status(403).json({ error: "Access denied: Insufficient permissions" });
  }
  
  req.user = decodedToken;
  next();
}

3. 优化错误处理 #

根据Firebase返回的错误码，返回更具体的错误信息，方便客户端排查：

catch (error) {
  let errorMessage = "Access denied: Invalid token";
  switch(error.code) {
    case 'auth/id-token-expired':
      errorMessage = "Access denied: Token has expired";
      break;
    case 'auth/invalid-id-token':
      errorMessage = "Access denied: Invalid token format";
      break;
    case 'auth/user-disabled':
      errorMessage = "Access denied: User account is disabled";
      break;
  }
  return res.status(401).json({ error: errorMessage });
}

4. 会话Cookie（可选，适合SSR场景） #

如果你的项目需要服务器端渲染，可以将ID Token交换为会话Cookie，实现更持久的身份验证：

• 客户端获取ID Token后，发送到后端接口
• 后端使用getAuth().createSessionCookie(idToken, { expiresIn: ... })生成Cookie并返回给客户端
• 后续请求通过Cookie验证身份，无需每次携带ID Token

内容的提问来源于stack exchange，提问作者Igor Ferreira