启用Firebase App Check后如何用Node.js Admin SDK访问RTDB

触发Missing appcheck token警告的核心原因是：开启Firebase App Check的RTDB强制校验后，所有请求（含服务端发起的请求）都会被校验App Check令牌合法性，服务账号的IAM身份认证与App Check来源校验是两个独立的安全维度，服务账号不会默认绕过App Check校验。
旧版本firebase-admin SDK的RTDB客户端默认不会自动注入App Check令牌，哪怕初始化时已经传入了具备全权限的服务账号凭证，也会触发该警告——注意该日志是警告级别，若你未开启App Check强制拦截，请求实际会正常执行；若已开启强制拦截，请求会被直接拒绝。

• App Check并非仅面向客户端的校验机制：只要在控制台为对应Firebase服务开启了App Check强制模式，所有访问该服务的请求无论来源，都需要携带合法App Check令牌。
• firebase-admin SDK确实具备创建App Check令牌的权限，但该能力默认不会自动关联到RTDB等服务的请求逻辑中，需要手动配置绑定，不存在遗漏的控制台配置项，问题出在SDK侧初始化逻辑。

• 先将本地的firebase-admin依赖升级到11.0.0以上的稳定版本，低版本对服务端App Check令牌的自动注入支持存在已知缺陷。
• 修改服务初始化代码，手动为RTDB客户端配置App Check令牌提供者，参考代码如下：

const { initializeApp, applicationDefault } = require('firebase-admin/app');
const { getDatabase } = require('firebase-admin/database');
const { getAppCheck } = require('firebase-admin/app-check');

const app = initializeApp({
  credential: applicationDefault(),
  databaseURL: '替换为你的实际RTDB连接地址',
});

const db = getDatabase(app);
const appCheck = getAppCheck(app);

// 为RTDB客户端配置自动获取、刷新App Check令牌的逻辑
db.setAppCheckTokenProvider({
  getToken: async () => {
    // 替换为你自己的Firebase项目ID
    const { token, ttl } = await appCheck.createToken('替换为你的Firebase项目ID');
    return {
      token,
      // 令牌默认TTL为1小时，提前5分钟触发刷新避免过期
      expireTimeMillis: Date.now() + (ttl.seconds * 1000 - 5 * 60 * 1000)
    };
  }
});

// 后续数据库操作可正常执行
const ref = db.ref('/some-path');
ref.once('value', (snapshot) => {
  console.log(snapshot.val());
});

配置前可先进入Firebase控制台的App Check设置页，将RTDB的拦截策略临时调整为「仅记录未携带合法令牌的请求，不做拦截」，先验证服务账号本身的RTDB读写权限配置正确，再开启强制拦截模式，避免影响线上业务。
若你的RTDB安全规则中存在request.app != null类的校验逻辑，服务端携带合法App Check令牌发起请求时，该字段会被正常填充，与客户端请求的校验逻辑完全一致。

内容的提问来源于stack exchange，提问作者Krunal Lia