如何在不暴露Server Key的情况下发送Firebase Cloud Messaging通知

绝对不能在客户端应用中存储FCM Server Key——一旦被逆向工程获取，攻击者可以滥用密钥发送恶意通知、消耗你的FCM配额，甚至获取敏感信息。正确的做法是将通知发送逻辑完全放在受信任的后端环境中，以下是具体实现方法：

方法1：搭建自有后端服务 #

将发送逻辑迁移到你自己控制的服务器上，密钥仅存储在后端的环境变量或安全配置中，客户端只负责接收通知和订阅主题。

步骤： #

1. 客户端订阅全局主题：在应用启动时，让所有用户自动订阅一个固定主题（比如all_users），这样后端只需向该主题发送消息，所有订阅用户都会收到。

   • Android示例代码：

     FirebaseMessaging.getInstance().subscribeToTopic("all_users")
         .addOnCompleteListener { task ->
             val msg = if (task.isSuccessful) "订阅全局主题成功" else "订阅全局主题失败"
             Log.d("FCM", msg)
         }
     

   • iOS示例代码：

     Messaging.messaging().subscribe(toTopic: "all_users") { error in
         print("订阅全局主题：\(error == nil ? "成功" : "失败")")
     }
     

2. 后端使用Firebase Admin SDK发送主题消息：
   用Firebase Admin SDK替代直接使用Server Key，SDK通过服务账号密钥认证，比Server Key更安全。

   • Node.js后端示例：

     const admin = require('firebase-admin');
     // 服务账号密钥从Firebase控制台下载，仅存放在后端，绝不泄露给客户端
     const serviceAccount = require('./path/to/serviceAccountKey.json');
     
     admin.initializeApp({
       credential: admin.credential.cert(serviceAccount),
       databaseURL: 'https://your-project-id.firebaseio.com'
     });
     
     // 向all_users主题发送通知
     async function sendGlobalNotification(title, body) {
       const message = {
         notification: { title, body },
         topic: 'all_users'
       };
     
       try {
         const response = await admin.messaging().send(message);
         console.log(`通知发送成功，消息ID：${response}`);
         return response;
       } catch (error) {
         console.error('通知发送失败：', error);
         throw error;
       }
     }
     
     // 调用示例
     sendGlobalNotification("系统通知", "这是一条给所有用户的重要通知");
     

方法2：使用Firebase Cloud Functions（无需自建后端） #

如果不想维护自有服务器，可以用Firebase Cloud Functions托管发送逻辑，通过Callable Functions让授权用户触发通知发送，全程无需暴露密钥。

步骤： #

1. 部署Callable Cloud Function：
   编写一个带权限验证的云函数，仅允许指定的管理员账号调用：

   const functions = require('firebase-functions');
   const admin = require('firebase-admin');
   admin.initializeApp();
   
   exports.sendGlobalNotification = functions.https.onCall(async (data, context) => {
     // 验证调用者是否为授权管理员（需在用户自定义Claims中标记admin权限）
     if (!context.auth || !context.auth.token.admin) {
       throw new functions.https.HttpsError('permission-denied', '无权限执行此操作');
     }
   
     const { title, body } = data;
     const message = {
       notification: { title, body },
       topic: 'all_users'
     };
   
     try {
       const response = await admin.messaging().send(message);
       return { success: true, messageId: response };
     } catch (error) {
       throw new functions.https.HttpsError('internal', '发送通知失败', error);
     }
   });
   

2. 客户端调用云函数：
   仅授权的管理员账号可以调用此函数发送通知，无需接触任何密钥：

   • Android示例：

     val functions = FirebaseFunctions.getInstance()
     val data = hashMapOf(
       "title" to "系统通知",
       "body" to "全体用户通知内容"
     )
     
     functions.getHttpsCallable("sendGlobalNotification")
         .call(data)
         .addOnSuccessListener { result ->
             Log.d("FCM", "通知发送请求提交成功")
         }
         .addOnFailureListener { e ->
             Log.e("FCM", "发送请求失败：${e.message}")
         }
     

关键注意事项 #

• 弃用旧版Server Key：旧版Legacy HTTP API依赖的Server Key已被Firebase标记为弃用，推荐迁移到基于服务账号的HTTP v1 API或Admin SDK，安全性更高。
• 权限控制：无论是自建后端还是云函数，都必须对发送请求做权限验证，避免任意用户触发通知发送。
• 主题订阅管理：如果需要取消部分用户的全局通知接收，可以让用户取消订阅all_users主题，或维护用户分组的主题列表。

内容的提问来源于stack exchange，提问作者Vince Ybañez