Firebase Admin SDK：登录时后端生成自定义令牌的授权验证问题

嘿，结合你当前生成自定义令牌并存储到MongoDB的代码，我来给你拆解下Firebase Admin SDK里针对ID Token和自定义令牌的授权验证方案，先理清楚两个容易混淆的概念，避免踩坑：

• 自定义令牌（Custom Token）：就是你代码里用createCustomToken生成的那个，它的核心作用是让客户端去Firebase Auth换取ID Token和Refresh Token，本身有效期短（默认1小时），并不适合直接作为API请求的凭证。
• ID Token：客户端通过登录（包括用自定义令牌登录）拿到的JWT令牌，有效期1小时，是后端验证用户身份的标准凭证，验证起来更高效。

下面分两种场景给你具体的验证方案：

场景1：验证客户端发来的ID Token（强烈推荐） #

如果你的客户端逻辑调整为：拿到自定义令牌后，调用Firebase客户端SDK的signInWithCustomToken换取ID Token，再通过x-auth头传给后端，那验证步骤是这样的：

1. 先从请求头里取出令牌：

const idToken = req.header('x-auth');

2. 用Firebase Admin SDK的verifyIdToken方法做核心验证——这个方法会自动帮你检查令牌的签名、有效期、颁发者等合法性，不用自己写复杂的JWT验证逻辑：

admin.auth().verifyIdToken(idToken)
  .then(decodedToken => {
    // decodedToken里的uid就是你生成自定义令牌时传入的user._id
    const userId = decodedToken.uid;
    // 额外验证：确保这个令牌还在用户的MongoDB记录里（防止令牌被提前撤销）
    return User.findOne({ _id: userId, 'tokens.token': idToken });
  })
  .then(user => {
    if (!user) {
      return Promise.reject(new Error('Token has been revoked'));
    }
    // 验证通过，把用户信息挂载到req上，继续处理请求
    req.user = user;
    next();
  })
  .catch(error => {
    // 验证失败，返回401未授权
    res.status(401).send({ error: 'Invalid or expired token' });
  });

场景2：验证客户端直接传递的自定义令牌（适配你当前的代码，但不推荐） #

如果你暂时不想调整客户端逻辑，就是要直接用自定义令牌作为请求凭证，那可以通过反向验证的方式：用自定义令牌去Firebase Auth服务器换取ID Token，如果能成功换取，就说明这个自定义令牌是有效的。

代码示例如下：

const customToken = req.header('x-auth');

// 调用Firebase的自定义令牌登录接口（后端也可以直接调用这个HTTP接口）
fetch(`https://identitytoolkit.googleapis.com/v1/accounts:signInWithCustomToken?key=你的Firebase Web API密钥`, {
  method: 'POST',
  headers: { 'Content-Type': 'application/json' },
  body: JSON.stringify({ token: customToken, returnSecureToken: true })
})
.then(response => response.json())
.then(data => {
  if (data.error) throw new Error(data.error.message);
  // data.localId就是你生成自定义令牌时的user._id
  const userId = data.localId;
  // 同样验证令牌是否在用户的MongoDB记录中
  return User.findOne({ _id: userId, 'tokens.token': customToken });
})
.then(user => {
  if (!user) {
    return Promise.reject(new Error('Token not found in user records'));
  }
  req.user = user;
  next();
})
.catch(error => {
  res.status(401).send({ error: 'Invalid custom token' });
});

为什么不推荐直接用自定义令牌？ #

• 它的设计初衷就是换ID Token，不是直接当API凭证用的
• 每次验证都要调用Firebase的外部接口，性能远不如本地验证ID Token高效
• ID Token里自带用户的基础信息（比如邮箱、昵称），解码后就能用，不用额外查数据库

额外的安全小贴士 #

• 令牌撤销：用户登出或者需要失效某个令牌时，一定要从MongoDB的user.tokens列表里删掉对应的记录，这样即使令牌本身没过期，后端也会拒绝请求
• 强制HTTPS：所有API请求必须用HTTPS，防止令牌在传输过程中被窃取
• 客户端存储：客户端要把令牌存在安全的地方，比如HttpOnly Cookie或者移动端的Secure Storage，避免XSS攻击
• 自动刷新：ID Token过期后，客户端可以用Refresh Token自动刷新，不用用户重新登录

内容的提问来源于stack exchange，提问作者Vipul