如何基于Firebase Auth实现REST API身份验证（无需客户端SDK）

这套架构完全可以基于Firebase Auth落地，不需要客户端集成任何Firebase SDK。你查到的资料大多偏向无后端/薄后端的前端直连场景，漏掉了Firebase Auth开放的全量REST接口和服务端Admin SDK能力。

你遗漏的核心能力 #

• Firebase Auth 提供全量HTTP REST接口：官方客户端SDK只是对HTTP接口的上层封装，仅额外提供了token自动刷新、本地持久化等便捷能力。所有注册、登录、刷新token的操作都可以由后端直接发起请求完成，客户端不需要和Firebase产生任何交互。
• 服务端Admin SDK原生支持身份校验：官方覆盖主流后端语言的Admin SDK，可以直接离线校验ID Token的合法性，整个校验过程不需要客户端参与。
• 令牌全生命周期支持服务端托管：ID Token是默认1小时有效期的短期身份凭证，用于接口鉴权；Custom Token用于自有账号体系对接Firebase时的身份过渡；Refresh Token是长期凭证，用于刷新过期的ID Token，三类令牌都可以仅在服务端流转，不需要暴露给客户端。

具体落地流程 #

1. 前置准备 #

在Firebase控制台开启你需要的登录方式（比如邮箱密码登录），准备两个凭证：

• Web API Key：在项目设置页可查看，用于调用Auth REST接口，本身设计上就是可公开的低权限凭证
• 服务账号密钥：用于初始化Admin SDK，拥有项目级管理员权限，只能存储在服务端

2. 实现/signUp注册接口 #

你的后端接收客户端提交的注册信息（比如邮箱、密码）后，直接调用Firebase Auth的注册REST接口：

• 如果你直接用Firebase Auth存储管理用户，创建成功后接口会直接返回ID Token、Refresh Token等凭证，可以直接把ID Token下发给客户端
• 如果你已有独立用户体系，仅需要Firebase身份对接DB权限，可以在自有逻辑校验通过后，用Admin SDK生成Custom Token，再调用对应REST接口换成ID Token即可，不需要把用户数据存入Firebase Auth
• 如果不想让客户端感知到Firebase的存在，也可以自己生成随机会话Token存在缓存中，绑定Firebase返回的用户uid，仅把自有会话Token下发给客户端

后端逻辑伪代码示例：

async function signUp(email, password) {
  const resp = await fetch(`<Firebase Auth 服务域名>/v1/accounts:signUp?key=${WEB_API_KEY}`, {
    method: 'POST',
    body: JSON.stringify({ email, password, returnSecureToken: true })
  })
  const data = await resp.json()
  // data.idToken 为身份凭证，data.refreshToken 用于后续刷新凭证
  return data.idToken
}

3. 实现/signIn登录接口 #

和注册逻辑一致，调用Firebase Auth的密码校验REST接口，验证账号密码合法性通过后，返回新的ID Token即可。
如果使用手机号、第三方OAuth、匿名登录等其他认证方式，流程完全一致：由客户端收集验证码、第三方授权code等凭证后传给你的后端，后端调用Firebase Auth对应REST端点换取ID Token即可，仍然不需要客户端集成SDK。

后端逻辑伪代码示例：

async function signIn(email, password) {
  const resp = await fetch(`<Firebase Auth 服务域名>/v1/accounts:signInWithPassword?key=${WEB_API_KEY}`, {
    method: 'POST',
    body: JSON.stringify({ email, password, returnSecureToken: true })
  })
  const data = await resp.json()
  return data.idToken
}

4. 业务API身份校验 #

客户端调用业务接口时，将Token放在Authorization请求头中，格式为Bearer <token>。你的后端在处理业务逻辑前，通过Admin SDK校验ID Token：

• Admin SDK会自动验证JWT签名、有效期、签发者合法性，不需要额外发起网络请求
• 校验通过后可以拿到用户uid、自定义权限声明等信息，基于此做业务权限判断，再通过Admin SDK操作Firebase DB即可
• 因为所有请求都经过你的后端转发，Firebase DB的安全规则可以直接配置为仅Admin可访问，所有数据权限在业务层自行控制

鉴权中间件伪代码示例：

async function authMiddleware(req, res, next) {
  const token = req.headers.authorization?.split(' ')[1]
  if (!token) return res.sendStatus(401)
  try {
    const payload = await admin.auth().verifyIdToken(token)
    req.userUid = payload.uid // 将用户身份挂载到请求上下文
    next()
  } catch (err) {
    return res.sendStatus(403)
  }
}

5. Token过期处理 #

ID Token默认1小时过期，可根据需求选两种处理方案：

• 新增/refreshToken接口，客户端在凭证过期时请求新token；也可以把Refresh Token存在服务端，完全不暴露给客户端
• 完全使用自有会话层，自己控制会话有效期，后端缓存Firebase返回的用户身份信息，不受Firebase token过期时间限制

注意事项 #

• Admin SDK的服务账号密钥权限极高，绝对不能暴露到客户端，所有Admin操作必须在服务端执行
• 不要仅解码JWT就信任身份信息，必须调用verifyIdToken完成验签，避免伪造身份攻击
• 如果后续需要做细粒度权限控制，可以通过Admin SDK给用户设置自定义声明，校验token时可以直接拿到权限字段

内容的提问来源于stack exchange，提问作者Codevalley