如何在Firebase中创建基础的API安全防护方法？

本方案用于解决Firebase生态下的API访问权限限制问题，可覆盖绝大多数需要仅允许特定授权用户访问API的业务场景，全链路校验规则如下：

• 请求方法校验：提前为每个接口配置允许的HTTP请求方法，收到请求时先匹配方法规则，直接拦截所有方法不匹配的非法请求。
• 身份令牌（TOKEN）校验：解析用户请求携带的身份令牌，提取核心字段做合法性校验，核心校验字段包含：
  • IAT（令牌签发时间）：该字段取值为自Unix纪元起计算的秒数，代表令牌正式生效的起始时间点，校验时如果当前时间早于IAT或令牌已超出有效期，直接拦截请求。
  • custom claims（自定义声明）：提前为不同权限等级的用户预置专属自定义声明字段，校验时匹配用户声明与当前接口要求的权限，权限不匹配直接拦截。
• 请求完整性校验：
  • 校验请求URL、Query参数中是否包含接口要求的全部必选参数，缺失必选参数直接拦截。
  • 校验POST、PUT等携带请求体的请求，其body中是否包含所有必填字段，字段格式不符合要求的也直接拦截。

内容的提问来源于stack exchange，提问作者raulabad