如何在Node.js后端通过Firebase获取当前用户？

嘿，我完全懂你的困惑！之前我也卡在这——大部分Firebase认证教程都把重点放在前端登录流程上，后端处理常规GET请求的场景讲得真的太少了。咱们一步步来解决这个问题：

第一步：前端把Token带到GET请求里 #

GET请求没法像POST那样把Token放在请求体里，最标准的做法是把Firebase的idToken放在请求头的Authorization字段中，格式为Bearer <你的idToken>。

举个前端的实现例子（假设你已经用Firebase完成了前端登录）：

// 前端获取idToken并发起GET请求
firebase.auth().currentUser.getIdToken()
  .then(idToken => {
    fetch('/', {
      method: 'GET',
      headers: {
        'Authorization': `Bearer ${idToken}`
      }
    });
  })
  .catch(err => console.error('获取Token失败:', err));

第二步：后端Express提取并验证Token #

你已经安装了firebase-admin，接下来我们可以写一个认证中间件，专门处理Token的提取和验证，这样所有需要用户认证的路由都能复用这个逻辑。

1. 先确保firebase-admin初始化完成 #

const admin = require('firebase-admin');
// 替换成你的服务账号密钥路径
const serviceAccount = require('./service-account-key.json');

admin.initializeApp({
  credential: admin.credential.cert(serviceAccount)
});

2. 编写认证中间件 #

// 自定义认证中间件
const authenticateUser = async (req, res, next) => {
  try {
    // 从请求头中提取Authorization字段
    const authHeader = req.headers.authorization;
    
    // 检查请求头是否符合格式
    if (!authHeader || !authHeader.startsWith('Bearer ')) {
      return res.status(401).send('请提供有效的认证凭证');
    }

    // 拆分出idToken（去掉前面的"Bearer "前缀）
    const idToken = authHeader.split(' ')[1];

    // 使用firebase-admin验证Token
    const decodedToken = await admin.auth().verifyIdToken(idToken);
    
    // 把验证后的用户信息挂载到req对象上，后续路由可直接使用
    req.currentUser = decodedToken;

    // 继续执行后续的路由逻辑
    next();
  } catch (error) {
    console.error('Token验证失败:', error);
    res.status(403).send('无效的认证Token，请重新登录');
  }
};

3. 在GET路由中使用中间件 #

现在你的GET路由就能轻松获取当前用户了：

app.get('/', authenticateUser, function(req, res) {
  // req.currentUser里包含了用户的uid、邮箱、自定义声明等信息
  console.log('当前登录用户信息:', req.currentUser);
  res.send(`欢迎回来，用户ID：${req.currentUser.uid}`);
});

额外注意事项 #

• Token会过期（默认有效期1小时），前端可以通过firebase.auth().onIdTokenChanged()事件监听Token刷新，确保每次请求携带的都是有效Token
• 这个中间件可以复用在所有需要认证的路由上，比如app.get('/profile', authenticateUser, ...)
• 验证失败时返回的HTTP状态码要规范：401表示未提供凭证，403表示凭证无效

内容的提问来源于stack exchange，提问作者Carson Yau