如何集成Firebase Auth到Google App Engine，支持非谷歌账号并实现服务端校验？

没问题，这其实是Firebase Auth和Google App Engine后端集成校验的标准流程，我给你一步步拆解怎么实现：

客户端：获取并携带ID Token到请求中 #

当用户通过Firebase Drop-in登录成功后，你需要从Firebase Auth客户端获取ID Token，然后在向GAE受保护路由发起请求时，把这个令牌放到HTTP请求的Authorization头里，格式为Bearer <你的ID Token>。

1. 获取ID Token #

Firebase Auth的currentUser对象提供了getIdToken()方法，它会返回一个有效的ID Token（有效期1小时，SDK会自动刷新）。因为是异步方法，你可以用async/await或者Promise来处理：

async function getCurrentIdToken() {
  const user = firebase.auth().currentUser;
  if (!user) {
    // 用户未登录，跳转到登录页
    window.location.href = '/login';
    return null;
  }
  try {
    const idToken = await user.getIdToken();
    return idToken;
  } catch (error) {
    console.error('获取ID Token失败:', error);
    return null;
  }
}

2. 在请求中携带令牌 #

不管是页面加载后发起的API请求，还是重定向后需要校验的页面请求，都可以通过fetch或者XMLHttpRequest把令牌放到请求头里。比如：

// 示例：请求GAE的受保护路由
async function accessProtectedRoute() {
  const idToken = await getCurrentIdToken();
  if (!idToken) return;

  const response = await fetch('/your-protected-route', {
    method: 'GET',
    headers: {
      'Authorization': `Bearer ${idToken}`
    }
  });

  if (response.ok) {
    // 请求成功，处理返回内容
    const data = await response.text();
    console.log('受保护内容:', data);
  } else {
    // 校验失败，比如令牌无效/过期，跳回登录页
    window.location.href = '/login';
  }
}

// 页面加载时自动发起请求（如果用户已登录）
window.addEventListener('load', () => {
  accessProtectedRoute();
});

如果是重定向到受保护页面的场景，不推荐把Token放到URL参数里（不安全），最好是重定向后在客户端执行上述代码，自动携带令牌发起请求。

服务端：在GAE中校验ID Token #

接下来需要在GAE后端集成Firebase Admin SDK，用来校验客户端传来的ID Token的有效性。

1. 安装并初始化Firebase Admin SDK #

以Node.js（Express）和Python（Flask）为例：

Node.js环境：

首先安装依赖：

npm install firebase-admin --save

然后初始化Admin SDK（推荐在项目启动时执行一次）：

const admin = require('firebase-admin');

// 用App Engine默认服务账号初始化（不需要手动下载密钥）
if (!admin.apps.length) {
  admin.initializeApp({
    credential: admin.credential.applicationDefault()
  });
}

Python环境：

安装依赖：

pip install firebase-admin

初始化SDK：

import firebase_admin
from firebase_admin import auth
from firebase_admin import credentials

if not firebase_admin._apps:
    # 使用App Engine默认服务账号
    cred = credentials.ApplicationDefault()
    firebase_admin.initialize_app(cred)

2. 编写校验中间件/装饰器 #

接下来编写一个通用的校验逻辑，用来解析请求头里的Token并验证：

Node.js（Express）中间件：

async function verifyIdToken(req, res, next) {
  const authHeader = req.headers.authorization;
  
  // 检查请求头是否包含有效的Bearer Token
  if (!authHeader || !authHeader.startsWith('Bearer ')) {
    return res.status(401).send('Unauthorized: 缺少有效令牌');
  }

  const idToken = authHeader.split('Bearer ')[1];
  
  try {
    // 校验Token并解码出用户信息
    const decodedToken = await admin.auth().verifyIdToken(idToken);
    // 将解码后的用户信息挂载到req对象，供后续路由使用
    req.user = decodedToken;
    // 校验通过，继续执行后续路由逻辑
    next();
  } catch (error) {
    console.error('令牌校验失败:', error);
    return res.status(401).send('Unauthorized: 令牌无效或已过期');
  }
}

然后把这个中间件应用到受保护路由上：

app.get('/your-protected-route', verifyIdToken, (req, res) => {
  // req.user里包含用户的uid、email、email_verified等信息
  res.send(`欢迎访问受保护路由，${req.user.email}！`);
});

Python（Flask）装饰器：

from flask import request, abort

def verify_id_token(func):
    def wrapper(*args, **kwargs):
        auth_header = request.headers.get('Authorization')
        if not auth_header or not auth_header.startswith('Bearer '):
            abort(401, description='Unauthorized: 缺少有效令牌')
        
        id_token = auth_header.split('Bearer ')[1]
        try:
            decoded_token = auth.verify_id_token(id_token)
            # 将用户信息挂载到request对象
            request.user = decoded_token
            return func(*args, **kwargs)
        except Exception as e:
            print(f'令牌校验失败: {e}')
            abort(401, description='Unauthorized: 令牌无效或已过期')
    return wrapper

应用到路由：

@app.route('/your-protected-route')
@verify_id_token
def protected_route():
    return f'欢迎访问受保护路由，{request.user["email"]}！'

关键注意事项 #

• ID Token有效期为1小时，Firebase客户端SDK会自动刷新令牌，所以每次调用getIdToken()都会返回最新的有效令牌。
• 确保GAE的默认服务账号拥有Firebase Auth的校验权限，一般默认配置下已经具备，如果遇到权限错误，可以去Google Cloud IAM控制台检查服务账号的权限。
• 不要在客户端本地存储ID Token过长时间，最好每次请求前调用getIdToken()获取最新令牌。

内容的提问来源于stack exchange，提问作者bastien girschig