启用Firebase App Check(SafetyNet)后Java Admin SDK无法访问项目的解决方法

问题描述 #

我有一个关联Android应用的Firebase项目，目前正在使用App Check（SafetyNet），该功能运行完全正常。同时我使用Java版Firebase Admin SDK连接项目并执行操作，在启用App Check之前所有功能都运行正常，但启用App Check后，我无法访问项目且所有操作均失败。请问该如何处理Admin SDK与App Check的兼容问题？

附相关代码 #

FirebaseOptions options = new FirebaseOptions.Builder().setCredentials(GoogleCredentials.fromStream(
        new ClassPathResource("/myproject-firebase-adminsdk.json").getInputStream()))
        .setDatabaseUrl("https://myproject-default-rtdb.firebaseio.com").build();

if (FirebaseApp.getApps().isEmpty()) {
    FirebaseApp.initializeApp(options);
}

DatabaseReference ref2 = FirebaseDatabase.getInstance().getReference("/users");
ref2.addListenerForSingleValueEvent(new ValueEventListener() {
    @Override
    public void onDataChange(DataSnapshot dataSnapshot) {
        Object document = dataSnapshot.getValue();
        System.out.println(document);
    }

    @Override
    public void onCancelled(DatabaseError error) {
        System.out.println(error);
    }
});

App Check设置截图 #

解决方案 #

Firebase Admin SDK属于受信任的服务器端服务，启用App Check后拦截非客户端验证请求是正常行为，可通过以下步骤解决兼容问题：

• 确认服务账号权限：确保你使用的服务账号JSON文件对应的账号拥有项目编辑者及以上权限，且文件未过期、权限未变更。Admin SDK依赖此账号的身份来证明请求的合法性。
• 配置App Check豁免规则：
  1. 进入Firebase控制台的App Check页面
  2. 找到你使用的Firebase服务（比如代码中的Realtime Database），点击编辑按钮
  3. 在豁免设置中，添加规则允许服务账号访问：可以选择指定你的Admin SDK服务账号，或勾选“允许所有服务账号访问”（测试环境可直接用，生产环境建议限定特定账号）
• 无需额外添加App Check令牌：Admin SDK使用服务账号签名请求时，Firebase后台会自动识别为受信任请求，不需要手动在请求中添加App Check令牌。
• 查看具体错误信息：通过onCancelled方法打印的error内容定位问题，常见原因是权限不足或未配置豁免，根据提示调整即可。

内容的提问来源于stack exchange，提问作者MehdiS