如何将Firebase Authentication接入现有Express应用完成API鉴权

核心集成实现步骤 #

• 服务端校验逻辑改造
  完全不需要对每个API请求发起远程调用校验身份，Firebase Auth签发的ID Token本身是标准JWT格式，使用Firebase持有的私钥签名，你只需要在Express服务中集成Firebase Admin SDK，即可完成本地校验，性能和你现有自签JWT校验基本一致。
  注意：Admin SDK内置了Firebase公钥自动缓存、过期轮换逻辑，除了首次拉取公钥、公钥定期轮换的极少量请求外，校验过程全程在本地执行，无额外网络开销
  核心中间件示例代码：

  const admin = require("firebase-admin");
  // 初始化SDK，服务账号密钥存在EC2环境变量/AWS密钥管理服务中，禁止硬编码提交到代码仓库
  admin.initializeApp({ credential: admin.credential.applicationDefault() });
  
  // 替换原有自签JWT校验中间件
  const firebaseAuthMiddleware = async (req, res, next) => {
    const authHeader = req.headers.authorization;
    if (!authHeader?.startsWith('Bearer ')) return res.sendStatus(401);
    const idToken = authHeader.split('Bearer ')[1];
    try {
      // 自动校验token签名、过期时间、签发方合法性，本地执行无远程调用
      const decodedToken = await admin.auth().verifyIdToken(idToken);
      // decodedToken携带用户uid、邮箱、自定义权限声明等信息，直接挂载到请求对象即可
      req.user = decodedToken;
      next();
    } catch (err) {
      return res.sendStatus(403);
    }
  };
  
  // 原有接口直接挂载新中间件即可，业务逻辑几乎不用改
  app.get('/api/user/profile', firebaseAuthMiddleware, (req, res) => {
    // 直接通过req.user.uid关联查询MySQL中的用户业务数据
  })
  

• MySQL用户库与Firebase用户库双向打通
  两种落地模式按需选择即可：

  1. 存量用户平滑迁移：先通过Admin SDK编写批量导入脚本，把MySQL中存量的邮箱密码用户导入Firebase Auth，导入时直接指定和你现有系统一致的用户ID，用户无需重置密码即可通过Firebase SDK登录，自动匹配原有业务数据。如果原有密码是不可逆哈希无法直接导入，可以做过渡逻辑：老用户首次登录时先走原有账号密码校验，校验通过后自动在Firebase侧创建对应用户，后续登录直接走Firebase流程即可。
  2. 新用户数据双向同步：新用户通过Firebase SDK完成注册/登录后，客户端携带ID Token请求服务端登录接口，服务端校验token合法后，查询MySQL中是否存在对应firebase_uid的用户记录，不存在则自动创建用户条目，业务数据（订单、积分、昵称等）仍然存在MySQL中，用Firebase全局唯一uid做关联键即可。如果需要同步Firebase侧的用户变更（修改邮箱、注销账号、封禁用户），既可以配置Firebase侧的事件回调推送到你EC2的接口同步更新MySQL，也可以在你自有后台操作用户数据时，直接调用Admin SDK同步修改Firebase侧的用户状态，实现双向一致。
     落地建议：MySQL表中给firebase_uid字段加唯一索引，Firebase侧可以把你自有系统的用户ID、角色权限写入自定义Claim，每天跑一次轻量对账脚本兜底即可，不需要做强一致双写，避免耦合过高。

• 多端客户端适配
  Android/iOS/Web端直接集成对应平台的官方Firebase Auth SDK即可，不管是邮箱密码登录还是第三方社交登录，全部走Firebase SDK的原生登录流程，登录成功后拿到ID Token，放在请求头Authorization: Bearer <token>中调用自有API即可，和你原有传自签JWT的逻辑几乎一致，客户端改造成本极低。

成本与收费说明 #

• 你担心的「每次API请求调用Firebase服务产生费用」的场景完全不存在，只要用官方推荐的本地ID Token校验方案，99.9%的校验逻辑都在你的EC2服务器本地执行，不会产生Firebase侧的调用计费。
• Firebase Authentication的收费规则非常透明，无隐藏收费：
  • 邮箱密码登录、官方支持的社交登录（谷歌、苹果、GitHub等）完全免费，无调用量上限
  • 手机号验证、短信验证码类功能每月有1万次免费额度，超出后按条收费，不使用不产生费用
  • 多因子认证、跨区域批量用户导入导出等高级功能单独计费，普通登录鉴权场景完全不涉及
• 可能产生微量成本的场景只有两个：
  1. 如果你使用Firebase云函数做用户事件回调同步，云函数调用量超出免费额度后会产生极低费用，中小规模应用基本都在免费额度内，即使超出每月成本通常也在几美元级别
  2. 如果你主动调用Admin SDK做批量用户操作、发送短信验证码，对应功能超出免费额度后才会计费

避坑提醒：不要自己写逻辑调用Firebase REST接口远程校验每个请求的token，这种方式不仅延迟高、性能差，还会产生不必要的请求量，用Admin SDK本地校验是官方推荐的最优方案，无额外成本。

落地注意事项 #

• Firebase服务账号密钥拥有操作你整个Firebase项目的最高权限，严禁硬编码到代码中，统一存放在AWS Secrets Manager或者EC2环境变量中
• 原有系统的角色、权限字段可以直接写入Firebase自定义Claim，校验token时就能直接拿到权限信息，不需要每个请求都查库
• 如果需要做token主动失效，可以配合Firebase的token撤销接口，同时在服务端加短有效期token+刷新逻辑，兼顾安全和性能

内容的提问来源于stack exchange，提问作者n....