Django Admin与Firebase集成及管理员权限对接问题咨询

• 结论是不可行，原因如下：
  • Django Admin的身份校验逻辑默认绑定自身的auth_user表和权限体系，要对接Firebase的身份认证，必须调用Firebase的身份校验接口验证ID Token有效性、获取用户权限声明，而这些接口只有Firebase Admin SDK才提供服务端的安全访问权限，直接客户端调用的话存在签名伪造、权限被篡改的风险。
  • 如果你强行绕开Admin SDK，直接调用Firebase的公开REST API做校验，需要手动处理签名验证、令牌过期、租户隔离等逻辑，容错率极低，且不符合Firebase的安全最佳实践，相当于自己重写了一遍Admin SDK的核心鉴权逻辑，完全没必要。

第一步：创建具备对等权限的Firebase管理员角色 #

你可以直接用Python调用Firebase Admin SDK完成角色创建，核心操作是给指定用户添加自定义声明（custom claims），示例代码如下：

import firebase_admin
from firebase_admin import auth, credentials

# 初始化Firebase Admin
cred = credentials.Certificate("path/to/your/firebase-service-account-key.json")
firebase_admin.initialize_app(cred)

# 给目标用户添加管理员声明，字段可和Django原生权限字段对齐
user_uid = "目标用户在Firebase中的UID"
auth.set_custom_user_claims(user_uid, {'is_django_admin': True, 'django_permissions': ['superuser']})

第二步：对接Django体系 #

核心逻辑是改造Django的身份验证后端，让它优先校验Firebase返回的身份信息：

1. 自定义Django认证后端，在authenticate方法中接收前端传入的Firebase ID Token，调用Admin SDK的auth.verify_id_token()方法校验令牌有效性，提取用户的UID和自定义声明
2. 校验通过后，两种方案可选：要么在Django的auth_user表中同步创建一个对应用户，标记is_staff、is_superuser属性和Firebase的自定义声明对齐；要么实现无状态的用户对象，不需要本地存储用户数据，直接返回包含Firebase权限信息的用户实例给Django Admin
3. 改造Django Admin的登录逻辑，把默认的账号密码登录替换成Firebase的登录入口，登录成功后拿到ID Token传给自定义的认证后端校验即可
4. 如果需要同步Firebase实时数据库的操作权限到Django Admin，可以在Django的权限校验钩子中调用Firebase Admin的数据库规则校验接口，保证两边权限一致。

注意：不要把Firebase的服务账号密钥暴露给前端，所有Admin SDK的调用都必须在Django服务端完成，避免权限泄露。

内容的提问来源于stack exchange，提问作者Ashraf Khaled