如何在安卓管理端APP不依赖后端通过FCM发送推送且不存储Authorization密钥？

我完全理解你的需求——不想依赖自建后端，又要避免在安卓管理端存储敏感的FCM Authorization密钥，毕竟把密钥放在客户端太不安全了。下面给你几个可行的规避方案，都是基于Firebase原生服务，不用自己搭后端：

方案一：用Firebase Cloud Functions做中间层（最推荐） #

这是最安全省心的方式，把密钥放在Firebase托管的云函数里，安卓端只需要发送请求到云函数，不需要接触任何敏感信息。

具体步骤： #

1. 配置管理员身份验证

   • 先通过Firebase Auth让你的管理端用户登录（邮箱密码、Google账号都支持）。
   • 给管理员用户添加自定义声明（比如{"admin": true}），用来标记合法的管理员身份。你可以在Firebase Console的Auth用户列表里手动设置，或者用Firebase Admin SDK批量处理。

2. 编写Cloud Functions HTTP触发器
   新建一个Cloud Functions项目，写一个HTTP函数负责接收安卓端的推送请求，验证用户身份后调用FCM API发送推送。示例代码（Node.js）：

   const functions = require("firebase-functions");
   const admin = require("firebase-admin");
   admin.initializeApp();
   
   exports.sendPushNotification = functions.https.onRequest(async (req, res) => {
     // 1. 提取并验证用户的ID Token
     const idToken = req.headers.authorization?.split('Bearer ')[1];
     if (!idToken) {
       return res.status(401).send("未授权访问");
     }
     
     try {
       const decodedToken = await admin.auth().verifyIdToken(idToken);
       // 2. 检查是否为管理员
       if (!decodedToken.admin) {
         return res.status(403).send("无操作权限");
       }
       
       // 3. 获取安卓端传来的推送参数
       const { targetToken, title, body } = req.body;
       if (!targetToken || !title || !body) {
         return res.status(400).send("缺少必要参数");
       }
       
       // 4. 调用FCM发送推送
       const message = {
         token: targetToken,
         notification: {
           title: title,
           body: body
         }
       };
       
       await admin.messaging().send(message);
       res.status(200).send("推送发送成功");
     } catch (error) {
       functions.logger.error("发送推送失败:", error);
       res.status(500).send("推送发送失败");
     }
   });
   

3. 安卓端调用云函数
   用户登录后，获取当前用户的ID Token，然后带着令牌和推送参数请求云函数：

   FirebaseAuth.getInstance().currentUser?.getIdToken(true)?.addOnCompleteListener { task ->
     if (task.isSuccessful) {
       val idToken = task.result?.token
       // 构造推送请求数据
       val pushData = mapOf(
         "targetToken" to "目标设备的FCM Token",
         "title" to "推送标题",
         "body" to "推送内容"
       )
       // 用OkHttp/Retrofit发送POST请求到云函数URL，请求头带上Authorization: Bearer $idToken
     }
   }
   

方案二：用OAuth2令牌调用FCM API（适合复杂场景） #

如果不想用Cloud Functions，你可以让管理员用户通过Google账号登录，获取OAuth2访问令牌，用这个令牌代替服务器密钥调用FCM REST API。不过这个方式需要处理OAuth2的授权流程和令牌刷新逻辑，相对复杂，还要确保用户被分配了Firebase Messaging Admin的角色。

关键注意事项 #

绝对不要把FCM服务器密钥放在安卓APP里——哪怕做了代码混淆也没用，APK反编译后很容易提取密钥，一旦泄露，任何人都可以用你的FCM配额发送推送，甚至恶意内容，风险极高。

内容的提问来源于stack exchange，提问作者Saket Mayank