如何在Google App Engine上无需Firebase Admin SDK解码Firebase IDToken？

嘿，这个问题我刚好研究过！要在Google App Engine上不借助Firebase Admin SDK提取Firebase用户ID，核心思路是手动验证Firebase ID Token的JWT签名和字段——因为Firebase的ID Token本身就是标准的JWT格式，我们可以用通用的JWT库来处理。

1. 先从请求里提取ID Token #

Firebase客户端发送请求时，通常会把ID Token放在Authorization请求头里，格式是Bearer <ID_TOKEN>。我们先把纯Token字符串拆出来：

const authHeader = req.headers.authorization;
if (!authHeader || !authHeader.startsWith('Bearer ')) {
  return res.status(401).send('Unauthorized: No valid token provided');
}
const idToken = authHeader.split(' ')[1];

2. 用Google公开公钥验证JWT签名 #

Firebase ID Token的签名是用Google的RSA私钥生成的，对应的公钥可以从Google的公开JWKS（JSON Web Key Set）端点获取。我们可以用jwks-rsa库自动获取并缓存公钥，避免每次请求都重复拉取：

首先安装依赖：

npm install jsonwebtoken jwks-rsa

然后编写验证逻辑：

const jwt = require('jsonwebtoken');
const jwksClient = require('jwks-rsa');

// 初始化JWKS客户端，指向Firebase的公钥端点
const client = jwksClient({
  jwksUri: 'https://www.googleapis.com/service_accounts/v1/jwk/securetoken@system.gserviceaccount.com'
});

// 定义获取签名公钥的函数
function getSigningKey(header, callback) {
  client.getSigningKey(header.kid, function(err, key) {
    if (err) {
      return callback(err);
    }
    const signingKey = key.getPublicKey();
    callback(null, signingKey);
  });
}

// 验证Token并提取用户ID
jwt.verify(idToken, getSigningKey, {
  issuer: `https://securetoken.google.com/${YOUR_FIREBASE_PROJECT_ID}`,
  audience: YOUR_FIREBASE_PROJECT_ID,
  algorithms: ['RS256']
}, function(err, decodedToken) {
  if (err) {
    return res.status(401).send(`Unauthorized: ${err.message}`);
  }
  // decodedToken.sub就是用户的Firebase唯一ID
  const userId = decodedToken.sub;
  console.log(`Authenticated user ID: ${userId}`);
  // 这里可以继续你的业务逻辑
  res.send(`Successfully extracted user ID: ${userId}`);
});

3. 必须严格验证的核心字段 #

为了保证Token的合法性，这几个字段一定要验证：

• issuer：必须是https://securetoken.google.com/<你的Firebase项目ID>，确保Token是Firebase官方签发的
• audience：必须是你的Firebase项目ID，防止其他项目的Token被滥用
• alg：签名算法必须是RS256，这是Firebase ID Token的标准加密算法
• exp/iat：JWT库会自动验证Token的过期时间和签发时间，不用手动处理

4. 性能优化小技巧 #

• 公钥缓存：jwks-rsa库默认会缓存公钥，避免重复请求Google的JWKS端点，提升请求处理速度
• 错误细分：针对不同的错误类型（比如Token过期、签名无效、字段不匹配）返回对应的HTTP状态码，方便前端做针对性处理

Firebase ID Token本质是符合RFC 7519标准的JWT，Google会用其专属服务账号的RSA密钥对Token签名，而公钥是公开可获取的——Firebase Admin SDK其实也是做了同样的验证逻辑，只是封装得更傻瓜化而已，我们手动实现只是绕开了SDK的依赖。

内容的提问来源于stack exchange，提问作者Mr. Blockchain