将Google API密钥存储到Firebase环境变量的问题

我之前也踩过这个一模一样的坑！把Google服务账号的密钥从本地JSON文件迁移到Firebase环境变量时，最容易出问题的就是private_key字段——毕竟直接用require("./privatekey.json")的时候，Node.js会自动帮我们处理字符串里的换行和转义，但环境变量里的字符串得手动调整格式才能正常工作。

问题根源 #

JSON文件里的private_key是带实际换行的格式（代码里显示为\n转义符）：

{
  "private_key": "-----BEGIN PRIVATE KEY-----\nMIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQC...\n-----END PRIVATE KEY-----"
}

当你把这段值复制到Firebase环境变量时，很容易把\n当成普通字符，或者粘贴时丢失换行，导致Google SDK无法识别这个私钥。

正确的处理步骤 #

1. 正确存储私钥到Firebase环境变量

• 通过Firebase控制台设置：直接打开你的JSON密钥文件，复制private_key字段里的完整内容（包括-----BEGIN PRIVATE KEY-----和-----END PRIVATE KEY-----），然后粘贴到Firebase控制台的环境变量输入框里，确保换行是实际的换行（不要把\n当成字符串输入）。
• 通过Firebase CLI设置：用命令直接从JSON文件读取并设置，避免手动复制出错：

firebase functions:config:set google.private_key="$(cat privatekey.json | jq -r '.private_key')"

同理，你可以一次性把所有需要的字段都设置好：

firebase functions:config:set \
  google.type="$(cat privatekey.json | jq -r '.type')" \
  google.project_id="$(cat privatekey.json | jq -r '.project_id')" \
  google.private_key_id="$(cat privatekey.json | jq -r '.private_key_id')" \
  google.private_key="$(cat privatekey.json | jq -r '.private_key')" \
  google.client_email="$(cat privatekey.json | jq -r '.client_email')" \
  google.client_id="$(cat privatekey.json | jq -r '.client_id')" \
  google.auth_uri="$(cat privatekey.json | jq -r '.auth_uri')" \
  google.token_uri="$(cat privatekey.json | jq -r '.token_uri')" \
  google.auth_provider_x509_cert_url="$(cat privatekey.json | jq -r '.auth_provider_x509_cert_url')" \
  google.client_x509_cert_url="$(cat privatekey.json | jq -r '.client_x509_cert_url')"

2. 在代码中正确读取并转换私钥

在Firebase Functions里，你需要手动构建服务账号对象，并且关键要把环境变量里的private_key中的转义\n替换成实际换行（如果有的话）：

const functions = require("firebase-functions");

// 构建服务账号对象
const serviceAccount = {
  type: functions.config().google.type,
  project_id: functions.config().google.project_id,
  private_key_id: functions.config().google.private_key_id,
  // 核心：把转义的\n替换成实际换行，确保私钥格式正确
  private_key: functions.config().google.private_key.replace(/\\n/g, '\n'),
  client_email: functions.config().google.client_email,
  client_id: functions.config().google.client_id,
  auth_uri: functions.config().google.auth_uri,
  token_uri: functions.config().google.token_uri,
  auth_provider_x509_cert_url: functions.config().google.auth_provider_x509_cert_url,
  client_x509_cert_url: functions.config().google.client_x509_cert_url
};

// 接下来就可以像使用require的JSON文件一样使用这个对象了
// 比如初始化Firebase Admin：
const admin = require("firebase-admin");
admin.initializeApp({
  credential: admin.credential.cert(serviceAccount)
});

额外注意事项 #

• 不要给环境变量里的私钥加额外的引号，否则引号会被当成私钥的一部分，导致SDK验证失败。
• 本地开发时，如果用.env文件配合dotenv包，同样要把私钥完整粘贴进去，保留实际换行，不要用\n转义字符。
• 设置完环境变量后，记得重新部署Functions：firebase deploy --only functions，不然新的环境变量不会生效。

内容的提问来源于stack exchange，提问作者Chadd