Google Firebase 与 Spring Boot 集成身份认证及角色权限实现方案咨询

方案合理性评估 #

你提出的原有方案在逻辑上可跑通，但存在两个核心缺陷，不建议落地：

• 严重安全风险：前端侧的所有数据都可被用户篡改，你如果依赖前端设置的claims做后端鉴权，攻击者可以轻易伪造管理员权限的claims绕过鉴权逻辑
• 流程冗余：多了一次专门拉取角色信息的接口请求，还额外增加了前端维护claims状态的成本，完全没有必要

推荐最优实现方案 #

你可以根据自己的业务复杂度从以下两种成熟落地方案里选：

方案1：Spring侧自主维护权限体系（适合权限逻辑复杂的场景） #

这是中大型项目最常用的集成模式，流程如下：

1. 用户在Firebase完成身份认证后，前端只需要在所有发往后端的请求头里携带Firebase返回的ID Token，不需要做任何角色、claims相关的处理
2. Spring侧统一做请求拦截：
   • 调用Firebase Admin SDK校验ID Token的合法性，校验通过后拿到用户唯一标识uid
   • 根据uid从自身业务数据库/缓存中查询该用户绑定的角色、权限集合
   • 将权限信息写入Spring Security上下文，后续接口直接用Spring原生注解@PreAuthorize("hasRole('ADMIN')")就能完成鉴权

优化点：如果权限变更频率不高，可以把uid对应的权限集合存在Redis中设置合理过期时间，减少数据库查询压力。

方案2：Firebase自定义claims存储权限（适合权限逻辑简单的场景） #

如果你的业务只有少量固定角色，不需要复杂权限控制，可以直接用Firebase自带的自定义claims能力，开发量最小：

1. 后端在给用户分配角色的时候，直接调用Firebase Admin SDK的setCustomUserClaims接口，把角色信息写入Firebase侧的用户属性中
2. 前端请求携带ID Token，Spring侧校验ID Token通过后，直接就能从Token的解析结果里拿到你预设的角色claims，不需要再查询自身业务数据库，直接做鉴权即可

两种方案选型参考 #

• 选方案2的场景：角色固定不超过5种、没有动态细粒度权限要求、想要最小开发量快速上线
• 选方案1的场景：有细粒度权限控制需求、权限变更频繁、后续可能扩展权限体系、需要和现有Spring生态的鉴权组件做集成

内容的提问来源于stack exchange，提问作者korallo