Vercel部署Next.js使用firebase-admin报无效PEM私钥格式错误

问题现象 #

部署集成firebase-admin的Next.js应用到Vercel平台时，使用如下初始化代码：

import * as firebaseAdmin from 'firebase-admin';
import firebase from 'firebase/app';

if (!firebaseAdmin.apps.length) {
  firebaseAdmin.initializeApp({
    credential: firebaseAdmin.credential.cert({
      privateKey: process.env.NEXT_PUBLIC_FIREBASE_PRIVATE_KEY,
      clientEmail: process.env.NEXT_PUBLIC_FIREBASE_CLIENT_EMAIL,
      projectId: process.env.NEXT_PUBLIC_FIREBASE_PROJECT_ID,
    }),
    databaseURL: process.env.NEXT_PUBLIC_FIREBASE_DATABASE_URL,
  });
}

Vercel后台配置NEXT_PUBLIC_FIREBASE_PRIVATE_KEY为带\n转义符的PEM格式私钥，值格式为"-----BEGIN PRIVATE KEY-----\n....\n-----END PRIVATE KEY-----\n"，构建阶段依次触发报错：

• 提示Failed to parse private key: Error: Invalid PEM formatted message
• 抛出Certificate object must contain a string "private_key" property异常，错误码为app/invalid-credential
• 最终npm run build、vercel build命令执行失败退出

相同环境变量配置在本地.env.local文件中时，执行npm run build可正常完成类型校验、生产构建、静态页面生成全流程，无任何报错。

问题根因 #

1. 转义字符解析逻辑差异：本地dotenv加载.env.local时会自动解析字符串中的\n转义符为真实换行，而Vercel存储环境变量时会将\n识别为普通的反斜杠+字母n的字面量组合，不会自动转义，导致传入firebase-admin的私钥不符合PEM格式要求，解析失败。
2. 环境变量命名存在安全风险：NEXT_PUBLIC_前缀的环境变量会被Next.js注入到客户端侧打包产物中，firebase-admin属于服务端特权SDK，对应凭证绝对不能暴露到客户端，否则会导致数据库、云资源被未授权访问。
3. 冗余依赖引入：服务端admin初始化文件中引入客户端SDKfirebase/app，可能导致构建时将服务端代码错误打包到客户端bundle，引发额外异常。

修复方案 #

• 调整环境变量命名：移除所有firebase-admin相关环境变量的NEXT_PUBLIC_前缀，重命名为FIREBASE_PRIVATE_KEY、FIREBASE_CLIENT_EMAIL、FIREBASE_PROJECT_ID、FIREBASE_DATABASE_URL，这类变量仅会在服务端被读取，不会泄露到客户端。
• 修正私钥读取逻辑：在读取私钥时增加字面量\n到真实换行的替换，兼容不同环境的转义逻辑，同时删除冗余的客户端SDK引入，修改后的初始化代码如下：

import * as firebaseAdmin from 'firebase-admin';

if (!firebaseAdmin.apps.length) {
  firebaseAdmin.initializeApp({
    credential: firebaseAdmin.credential.cert({
      privateKey: process.env.FIREBASE_PRIVATE_KEY?.replace(/\\n/g, '\n'),
      clientEmail: process.env.FIREBASE_CLIENT_EMAIL,
      projectId: process.env.FIREBASE_PROJECT_ID,
    }),
    databaseURL: process.env.FIREBASE_DATABASE_URL,
  });
}

export default firebaseAdmin;

• 正确配置Vercel环境变量，两种方式二选一即可：
  • 方式1：打开Firebase控制台生成的服务账号密钥文件，复制完整带真实换行的私钥内容，直接粘贴到Vercel环境变量输入框，不要手动替换换行符为\n
  • 方式2：保留带\n转义符的私钥配置，依靠上述代码中的替换逻辑统一处理转义
• 重新触发Vercel部署即可完成构建。

内容的提问来源于stack exchange，提问作者wick3d