Firebase+Express后端下受保护页面GET请求身份认证方案咨询

针对直接跳转页面无法手动注入Authorization头的场景，目前行业内有三种成熟的标准实现方案，可根据技术栈选型：

方案1：会话Cookie存储认证信息（最通用，支持SSR） #

这是同时支持服务端渲染、直接页面跳转场景的首选方案，实现逻辑如下：

• 前端登录成功拿到Firebase ID Token后，调用后端提供的会话创建接口，将ID Token传给后端
• 后端通过Firebase Admin SDK验证ID Token有效性后，生成带HttpOnly、Secure、SameSite=Lax属性的Cookie，将ID Token或Firebase官方提供的会话Cookie存入其中，有效期和ID Token有效期保持一致
• 后续浏览器发起的所有请求，包括点击链接、书签打开的GET页面请求，都会自动携带该Cookie，后端收到页面请求时优先验证Cookie中的认证信息：
  • 验证通过：直接返回对应页面的SSR内容
  • 验证失败：返回302响应重定向到登录页
• 安全补充：搭配SameSite属性基本可规避CSRF风险，对安全要求更高的场景可额外增加CSRF Token校验

方案2：Firebase 官方会话Cookie方案 #

如果采用Firebase生态的后端服务（Cloud Functions、Cloud Run等），可以直接用Firebase Admin SDK提供的专用会话能力：

• 前端登录后调用后端接口，后端调用createSessionCookie方法生成专用的会话Cookie返回给前端存储
• 后续页面请求的校验直接调用verifySessionCookie方法即可，该方案支持主动吊销会话、设置更长的有效期，比自行存储ID Token安全性更高

方案3：SPA客户端路由守卫（仅适用于纯客户端单页应用） #

如果是不需要SSR的纯客户端SPA，可以用前端路由守卫实现：

• 所有页面请求都统一返回SPA入口HTML
• 前端初始化时监听Firebase Auth的onAuthStateChanged事件，待认证状态加载完成后再做路由判断：
  • 已认证用户：加载对应路由的页面内容
  • 未认证用户：前端跳转到登录页
• 注意该方案无法支持服务端渲染，SEO和首屏加载性能会受影响

不推荐实现 #

先加载空白页再拉取内容的方案存在体验差、不支持SSR的问题，生产环境不建议使用。

内容的提问来源于stack exchange，提问作者woojoo666