集成Firebase FCM到Web App时订阅主题遇401/403错误

这个问题我之前帮不少开发者排查过，核心原因是你用错了授权凭证——Instance ID的主题订阅API不接受普通的Firebase Web API密钥或FCM服务器密钥，得用服务账号生成的OAuth2令牌，或者更简单的方式：直接用Firebase Admin SDK来封装调用。

先理清错误原因 #

• 401 Unauthorized（用Firebase API密钥）：Web API密钥是给客户端调用Firebase基础服务用的，没有权限访问需要身份验证的管理类API（比如Instance ID的主题操作），所以直接返回401。
• 403 Forbidden（用FCM服务器密钥）：FCM服务器密钥只能用来发送推送消息，不能用来修改设备的主题订阅关系，权限不匹配导致403。

推荐解决方案：用Firebase Admin SDK（最简单可靠） #

Admin SDK已经帮你处理了所有授权逻辑，不用手动折腾令牌生成，直接调用封装好的方法就行。以Node.js为例：

1. 从Firebase控制台下载服务账号密钥文件（项目设置 → 服务账号 → 生成新的私钥）。
2. 安装Admin SDK依赖：

npm install firebase-admin

3. 编写订阅代码：

const admin = require('firebase-admin');

// 初始化Admin SDK
const serviceAccount = require('./path/to/your-service-account-key.json');
admin.initializeApp({
  credential: admin.credential.cert(serviceAccount),
  databaseURL: 'https://your-project-id.firebaseio.com' // 替换成你的项目数据库URL，可选但建议加上
});

// 封装订阅函数
async function subscribeTokenToTopic(token, topic) {
  try {
    const response = await admin.messaging().subscribeToTopic(token, topic);
    console.log(`订阅成功，成功数：${response.successCount}`);
    return response;
  } catch (error) {
    console.error('订阅失败：', error);
  }
}

// 调用示例
subscribeTokenToTopic('客户端传来的FCM令牌', '你的主题名称');

备选方案：手动调用Instance ID API（不推荐，除非不能用Admin SDK） #

如果因为某些原因不能用Admin SDK，你需要用服务账号生成OAuth2访问令牌，再调用API：

1. 生成访问令牌（这里用Node.js和jq工具示例）：

# 读取服务账号密钥，生成JWT并请求access token
ACCESS_TOKEN=$(curl -s "https://www.googleapis.com/oauth2/v4/token" \
  -H "Content-Type: application/json" \
  -d '{
    "grant_type": "urn:ietf:params:oauth:grant-type:jwt-bearer",
    "assertion": "'$(node -e "
      const { readFileSync } = require('fs');
      const jwt = require('jsonwebtoken');
      const sa = JSON.parse(readFileSync('./service-account-key.json', 'utf8'));
      const token = jwt.sign({
        iss: sa.client_email,
        scope: 'https://www.googleapis.com/auth/firebase.messaging',
        aud: 'https://www.googleapis.com/oauth2/v4/token',
        exp: Math.floor(Date.now() / 1000) + 3600,
        iat: Math.floor(Date.now() / 1000)
      }, sa.private_key, { algorithm: 'RS256' });
      console.log(token);
    ")'"
  }" | jq -r '.access_token')

2. 调用主题订阅API：

curl -X POST "https://iid.googleapis.com/iid/v1/:batchAdd" \
  -H "Authorization: Bearer $ACCESS_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "to": "/topics/你的主题名称",
    "registration_tokens": ["客户端FCM令牌"]
  }'

额外检查点 #

确保你的服务账号拥有Firebase Cloud Messaging Admin角色（在Google Cloud IAM控制台设置），否则即使令牌正确，也可能出现权限不足的问题。

内容的提问来源于stack exchange，提问作者ninjaintrouble