如何用Node.js的Firebase Admin SDK实现无前端JS的邮箱密码登录

核心思路 #

Firebase Admin SDK本身不提供直接的邮箱密码登录验证接口，但可以结合Firebase Auth的REST登录端点，在Node.js后端完成完整验证流程：接收前端POST的表单数据→调用Auth REST API验证账号密码→获取idToken→用Admin SDK验证token合法性并生成会话Cookie→返回Cookie给前端完成会话管理。这样既满足无前端JS的需求，又能复用Admin SDK处理后续业务。

实现步骤 #

1. 后端接收前端POST提交的邮箱、密码表单数据
2. 调用Firebase Auth的signInWithPassword REST端点验证账号，获取idToken
3. 用Admin SDK验证idToken的合法性（防止篡改）
4. 生成Firebase会话Cookie并配置安全属性后设置到响应头
5. 返回跳转或成功响应到前端

代码示例（Node.js + Express） #

1. 初始化Admin SDK和依赖

const admin = require('firebase-admin');
const express = require('express');
const axios = require('axios');
const cookieParser = require('cookie-parser');

const app = express();
app.use(express.urlencoded({ extended: true }));
app.use(cookieParser());

// 用服务账号密钥初始化Firebase Admin SDK（替换为你的密钥文件路径）
admin.initializeApp({
  credential: admin.credential.cert(require('./service-account-key.json')),
});

// 替换为你的Firebase项目Web API密钥（控制台→项目设置→通用）
const FIREBASE_WEB_API_KEY = 'your-web-api-key';

2. 登录处理路由

app.post('/login', async (req, res) => {
  const { email, password } = req.body;

  try {
    // 调用Firebase Auth REST API验证账号密码
    const authRes = await axios.post(
      `https://identitytoolkit.googleapis.com/v1/accounts:signInWithPassword?key=${FIREBASE_WEB_API_KEY}`,
      {
        email,
        password,
        returnSecureToken: true
      }
    );

    const { idToken } = authRes.data;

    // 用Admin SDK验证idToken（可选但推荐，确保token未被篡改）
    await admin.auth().verifyIdToken(idToken);

    // 生成会话Cookie，有效期设为7天
    const cookieExpiryMs = 60 * 60 * 24 * 7 * 1000;
    const sessionCookie = await admin.auth().createSessionCookie(idToken, { expiresIn: cookieExpiryMs });

    // 设置Cookie安全属性：HttpOnly防XSS、Secure仅HTTPS环境启用、SameSite防CSRF
    const cookieOptions = {
      maxAge: cookieExpiryMs,
      httpOnly: true,
      secure: process.env.NODE_ENV === 'production',
      sameSite: 'lax'
    };

    res.cookie('firebase-session', sessionCookie, cookieOptions);
    res.redirect('/dashboard'); // 跳转到登录后的页面
  } catch (err) {
    // 处理错误，返回友好提示
    let errMsg = '登录失败，请检查账号密码';
    if (err.response?.data?.error?.message) {
      switch (err.response.data.error.message) {
        case 'EMAIL_NOT_FOUND':
          errMsg = '该邮箱未注册';
          break;
        case 'INVALID_PASSWORD':
          errMsg = '密码错误';
          break;
        case 'USER_DISABLED':
          errMsg = '账号已被禁用';
          break;
      }
    }
    res.status(401).send(`<div>${errMsg}</div><a href="/login">返回登录页</a>`);
  }
});

3. 验证会话Cookie的路由

app.get('/dashboard', async (req, res) => {
  const sessionCookie = req.cookies['firebase-session'] || '';

  try {
    // 验证会话Cookie，获取用户信息
    const decodedUser = await admin.auth().verifySessionCookie(sessionCookie, true);
    res.send(`<h1>欢迎回来，${decodedUser.email}</h1><a href="/logout">退出登录</a>`);
  } catch (err) {
    // Cookie无效或过期，跳转登录页
    res.redirect('/login');
  }
});

4. 退出登录路由

app.get('/logout', async (req, res) => {
  const sessionCookie = req.cookies['firebase-session'] || '';
  if (sessionCookie) {
    try {
      const decodedUser = await admin.auth().verifySessionCookie(sessionCookie);
      await admin.auth().revokeRefreshTokens(decodedUser.uid);
    } catch (err) {
      // 忽略验证失败的情况
    }
  }
  // 清除Cookie
  res.clearCookie('firebase-session', { httpOnly: true, secure: process.env.NODE_ENV === 'production' });
  res.redirect('/login');
});

关键注意事项 #

• Web API密钥获取：必须从Firebase控制台项目设置中获取Web API密钥，用于调用Auth REST接口
• Admin SDK凭据：用服务账号密钥初始化Admin SDK，确保后端拥有足够权限处理用户会话
• Cookie安全配置：生产环境必须开启secure属性（仅HTTPS传输），httpOnly和sameSite属性不可省略，防止XSS和CSRF攻击
• 错误处理：根据Firebase返回的错误码映射友好提示，提升用户体验
• 会话管理：通过verifySessionCookie验证后续请求的用户身份，注销时调用revokeRefreshTokens失效用户的所有会话

内容的提问来源于stack exchange，提问作者Erik Elverskog