如何在Firebase中通过用户专属secret key验证实现反馈提交功能

1. 唯一Access Key生成与存储 #

• 先在Firestore创建user_access_keys独立集合，每个文档对应用户，字段包含：uid（用户唯一标识）、access_key（32位以上随机字符串，通过crypto类库生成）、expire_at（可选，设置密钥有效期）、is_valid（布尔值，标记密钥是否有效）、created_at（创建时间）
• 密钥生成逻辑放在Firebase Cloud Functions中，可绑定新用户注册触发器自动生成，也可由管理员手动调用接口生成
  注意：access key不要和用户uid、手机号等公开可获取信息做直接关联，避免被暴力破解

2. 反馈链接校验逻辑 #

• 邮件内携带的反馈链接格式可设为 你的反馈页地址?access_key=xxx，用户点击链接进入反馈页后，前端先提取URL中的access_key参数，调用提前部署的Cloud Functions HTTP接口校验密钥有效性
• 校验接口逻辑：拿到传入的access_key后到user_access_keys集合查询，判断是否存在、is_valid为true、如果配置了有效期则需当前时间早于expire_at，校验通过返回Firebase自定义登录令牌，校验失败直接返回403错误
• 校验接口示例代码：

const functions = require('firebase-functions');
const admin = require('firebase-admin');
admin.initializeApp();

exports.validateAccessKey = functions.https.onRequest(async (req, res) => {
  // 允许跨域的话可自行配置CORS
  const accessKey = req.query.access_key;
  const keyRes = await admin.firestore().collection('user_access_keys').where('access_key', '==', accessKey).limit(1).get();
  if (keyRes.empty) return res.status(403).send('无效访问密钥');
  const keyInfo = keyRes.docs[0].data();
  if (!keyInfo.is_valid || (keyInfo.expire_at && Date.now() > keyInfo.expire_at.toMillis())) {
    return res.status(403).send('密钥已过期或失效');
  }
  // 生成自定义登录令牌，返回给前端
  const customToken = await admin.auth().createCustomToken(keyInfo.uid);
  res.send({customToken});
});

• 前端拿到自定义令牌后，调用signInWithCustomToken方法登录Firebase，之后即可正常提交反馈数据

3. Secret Key权限授予实现 #

• secret key全程不要暴露在前端，所有涉及secret key的鉴权逻辑全部放在Cloud Functions侧处理
• 将secret key存入Cloud Functions环境变量，通过命令firebase functions:config:set app.secret_key="你的自定义密钥"上传配置，不要硬编码在代码中
• 编写专用的权限授予Cloud Functions接口，调用方需要在请求头中携带x-secret-key参数，接口先校验请求头中的密钥和环境变量存储的secret key是否一致，校验通过后再执行权限授予操作，示例代码如下：

exports.grantFirebaseAccess = functions.https.onRequest(async (req, res) => {
  const reqSecret = req.headers['x-secret-key'];
  const envSecret = functions.config().app.secret_key;
  if (reqSecret !== envSecret) return res.status(403).send('无权操作');
  const targetUid = req.body.uid;
  // 示例：给目标用户分配反馈提交权限的自定义Claims
  await admin.auth().setCustomUserClaims(targetUid, {allowSubmitFeedback: true});
  // 也可按需修改Firestore中用户的权限字段
  res.send('权限授予成功');
});

• 最后配置Firebase安全规则，限制只有登录成功的用户才能提交反馈，示例规则如下：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /feedbacks/{feedbackId} {
      // 仅登录用户可提交反馈，也可结合自定义Claims做更严格的限制
      allow create: if request.auth != null;
    }
  }
}

4. 可选优化项 #

• 可设置access key为单次有效，用户提交完反馈后自动将is_valid字段设为false，避免密钥被复用
• 可增加access key的使用次数限制，超出次数后自动失效
• 所有密钥生成、校验、权限操作逻辑全部放在服务端执行，不要在前端做任何鉴权判断，避免被恶意篡改

内容的提问来源于stack exchange，提问作者Surya Kasturi