如何将Firebase Admin SDK添加到已初始化的客户端Firebase应用中

核心安全提醒 #

绝对不要在客户端/面向用户的前端站点中引入Firebase Admin SDK和服务账号密钥文件。Admin SDK的服务账号具备你Firebase项目的最高管理权限，放到前端会直接泄露，所有访问站点的用户都可以获取到该密钥，随意修改、删除项目数据，篡改用户信息，会造成极其严重的安全事故。

报错原因 #

调用initializeApp方法时，如果不传入第二个参数指定实例名称，默认会创建名为[DEFAULT]的应用实例。你在初始化客户端SDK和Admin SDK时都使用了默认实例名，因此触发了重复初始化的报错。

正确实现方案 #

你需要把Admin SDK的相关逻辑完全拆分到后端服务（比如Node.js服务、Firebase云函数）中运行：

• 前端仅保留客户端Firebase SDK的初始化，实现登录、普通数据读写等功能
• 后端单独初始化Admin SDK，对外提供需要管理权限的接口（比如修改用户资料、调整用户权限等）
• 前端调用后端接口时，携带当前登录用户的ID Token，后端先验证Token合法性、确认用户具备操作权限后，再调用Admin SDK执行对应操作，最终将结果返回给前端

纯后端环境同时初始化两个SDK的方法（仅适用于Node.js后端，禁止前端使用） #

如果你的运行环境是纯后端Node.js，确实需要同时使用客户端SDK和Admin SDK，可以给其中一个实例指定自定义名称，避免冲突：

// 客户端SDK初始化，指定自定义实例名
const firebaseConfig = {
  // 你的客户端配置
};
const clientApp = initializeApp(firebaseConfig, 'client');
const auth = getAuth(clientApp);
const db = getFirestore(clientApp);

// Admin SDK初始化
const admin = require("firebase-admin");
const serviceAccount = require("./api_key.json");
// 给Admin指定单独的实例名，彻底避免冲突
const adminApp = admin.initializeApp({
  credential: admin.credential.cert(serviceAccount)
}, 'admin'); 
const admin_auth = adminApp.auth();

export { auth, db, admin_auth };

内容的提问来源于stack exchange，提问作者guckmalmensch