Firebase Admin是否仅管理员可用？普通用户能否用其向其他用户发通知？

Firebase Admin SDK 的权限适用范围 #

• 首先明确Admin SDK的本质：它是部署在你完全管控的后端环境（自有服务器、受信任的云函数环境等）里的服务端SDK，设计上就不支持、也不应该暴露给任何终端用户的客户端直接调用——不管这个客户端用户是管理员账号还是普通用户账号
• 它自带的服务账号凭证拥有绕过所有Firebase安全规则的最高项目权限，能直接修改数据库、操作用户账号、向全项目用户发广播。一旦把SDK的密钥、凭证打包到客户端代码里，等于把整个Firebase项目的控制权完全开放给所有拿到安装包的人，根本不存在“仅管理员可用”的权限边界
• 普通用户发起通知发送请求的正确流转路径是：客户端把发送请求发到你的受保护后端 → 后端先校验发请求的用户身份、确认对方确实有资格给目标接收人发通知 → 再在自己的服务端环境里调用Admin SDK完成实际的通知投递。整个过程不需要普通用户接触Admin SDK，更不需要把Admin SDK的权限开放给普通用户
• 常见踩坑提醒：很多人试过在客户端加判断“如果当前用户uid在管理员白名单里才允许调用推送接口”，这种隔离完全没有安全意义——只要Admin的凭证泄露，恶意用户完全可以绕开你的客户端判断，直接拿凭证调用Admin接口做任何操作

通知投递的核心标识选择逻辑 #

• 首先要厘清：user UID和FCM Token是推送链路里完全不同层级的标识，根本不是二选一的替代关系：
  • FCM Token是单台设备上某次App安装生成的临时推送通道凭证，本身不绑定用户身份。它会随着App重装、缓存清理、版本更新、令牌自动轮换失效，而且同一个用户登录多台设备时，会同时存在多个有效FCM Token
  • user UID是用户身份的长期稳定唯一标识，是你搭建“用户身份”和“可推送通道”关联关系的核心主键
• 正确的落地实现逻辑：
  • 客户端每次启动、用户完成登录时，获取当前设备生成的最新FCM Token，调用后端接口把这个token和当前登录用户的uid做绑定，存在你可控的持久化存储里（比如用Firestore建个user_fcm_tokens集合，文档ID就是用户的uid，文档里存这个用户名下所有的有效token列表，顺便记录最后更新时间即可）
  • 发送用户间通知的时候，先走完业务权限校验，拿到接收方的uid，去查这个uid下挂着的所有有效FCM Token，再通过Admin SDK给这些token逐一发推送。用这个逻辑，不管用户换几个手机、重装几次App，只要登了同一个账号，都能正常收到通知
• 落地细节注意：
  • 每次调用FCM发送推送，如果接口返回某个token已经失效，要及时把这个token从对应用户的列表里删掉，不然每次发通知都会堆叠一堆无效请求
  • 所有uid和FCM Token的映射关系都要存在后端可控的存储里，别把其他用户的token列表暴露到客户端，避免被泄露或篡改

内容的提问来源于stack exchange，提问作者Malik Mati