如何通过服务账号JSON为Go语言Firebase实时数据库HTTP SSE连接鉴权

1. 需从服务账号JSON提取的核心字段 #

• project_id：你的Firebase项目ID，用于拼接实时数据库请求URL
• client_email：服务账号的邮箱地址，用于生成OAuth2签名凭证
• private_key：服务账号的RSA私钥，用于签名生成访问令牌
  如果使用Google官方凭证解析包，不需要手动提取这些字段，包会自动解析JSON内容。

2. 鉴权规则说明 #

Firebase实时数据库REST API推荐使用OAuth 2.0访问令牌鉴权，有效令牌需要放到HTTP请求的Authorization请求头中，值格式为Bearer <access_token>，不需要手动拼接URL参数，也不需要自己处理令牌过期刷新，使用官方OAuth2 SDK会自动处理这些逻辑。

3. 自定义NewClient实现代码 #

首先导入依赖包，然后自定义带鉴权的客户端初始化函数：

import (
	"context"
	"os"

	"golang.org/x/oauth2"
	"golang.org/x/oauth2/google"
	"github.com/r3labs/sse/v2"
)

// Firebase实时数据库所需的OAuth权限范围
var firebaseScopes = []string{
	"https://www.googleapis.com/auth/firebase.database",
	"https://www.googleapis.com/auth/userinfo.email",
}

// NewFirebaseSSEClient 初始化带Firebase鉴权的SSE客户端
// 参数dbPath为你要监听的实时数据库路径，serviceAccountJSON为服务账号JSON的字节内容
func NewFirebaseSSEClient(dbPath string, serviceAccountJSON []byte) (*sse.Client, error) {
	ctx := context.Background()
	// 解析服务账号凭证，生成自动刷新令牌的凭证源
	creds, err := google.CredentialsFromJSON(ctx, serviceAccountJSON, firebaseScopes...)
	if err != nil {
		return nil, err
	}

	// 拼接实时数据库请求URL，注意末尾必须加.json后缀
	reqURL := "https://" + creds.ProjectID + ".firebaseio.com/" + dbPath + ".json"
	// 如果你的数据库是非美西默认区域，使用以下格式拼接URL：
	// reqURL := "https://" + creds.ProjectID + "-default-rtdb.<你的区域代码>.firebasedatabase.app/" + dbPath + ".json"

	// 初始化SSE基础客户端
	sseClient := sse.NewClient(reqURL)
	// 将带自动鉴权的HTTP客户端赋值给SSE客户端的Connection字段
	// 后续所有请求都会自动带上有效的Authorization请求头
	sseClient.Connection = oauth2.NewClient(ctx, creds.TokenSource)

	return sseClient, nil
}

4. 调用示例 #

// 读取本地服务账号JSON文件
saJSON, err := os.ReadFile("./path/to/your/service-account.json")
if err != nil {
	// 处理文件读取错误
	panic(err)
}

// 初始化带鉴权的SSE客户端，监听实时数据库下的messages路径
client, err := NewFirebaseSSEClient("messages", saJSON)
if err != nil {
	// 处理客户端初始化错误
	panic(err)
}

// 后续正常调用SSE客户端的Subscribe等方法即可

注意事项 #

• 要确保你使用的服务账号拥有对应实时数据库路径的读写权限，可以在Firebase控制台的实时数据库规则页配置，或者给服务账号授予Firebase Realtime Database Admin角色。
• 测试场景下可以直接使用数据库密钥鉴权：在Firebase控制台项目设置的服务账号页获取数据库密钥，直接在请求URL后拼接?auth=<数据库密钥>即可，该方式不要用于生产环境，密钥泄露会导致数据库权限完全失控。

内容的提问来源于stack exchange，提问作者0xKitsune