如何在Firebase云函数中获取匿名用户UID以创建Note？

好问题！Firebase的HTTPS云函数默认不会自动携带当前用户的身份信息，所以你不能直接拿到HOW_CAN_I_GET_CURRENT_USER对应的UID——得通过验证用户的ID Token来安全获取，绝对不要让前端直接传UID（这种方式容易被伪造，存在安全风险）。

实现步骤 #

1. 前端请求时附带ID Token

匿名用户同样可以通过Firebase Auth获取有效的ID Token，前端在发送POST请求时，需要把Token放在请求头里：

// 前端代码示例（Web）
async function addNote(content) {
  const user = firebase.auth().currentUser;
  if (!user) {
    // 处理未登录（匿名未初始化）的情况
    return;
  }
  const idToken = await user.getIdToken();
  
  await fetch('你的云函数URL/addNote', {
    method: 'POST',
    headers: {
      'Content-Type': 'application/json',
      'Authorization': `Bearer ${idToken}` // 把Token放在Authorization头里
    },
    body: JSON.stringify({ content })
  });
}

2. 云函数中验证Token并获取UID

在你的HTTPS云函数里，需要从请求头取出Token，用Firebase Admin SDK验证它的有效性，解析出用户UID：

export const addNote = functions.https.onRequest(async (request, response) => {
  // 只允许POST请求
  if(request.method !== "POST"){
    response.sendStatus(405); // 用405 Method Not Allowed更规范
    return;
  }

  // 1. 从请求头取出Authorization Token
  const authHeader = request.headers.authorization;
  if (!authHeader || !authHeader.startsWith('Bearer ')) {
    response.status(401).send('未提供有效的身份验证Token');
    return;
  }
  const idToken = authHeader.split('Bearer ')[1];

  try {
    // 2. 验证Token并解析用户信息
    const decodedToken = await admin.auth().verifyIdToken(idToken);
    const uid = decodedToken.uid;

    // 3. 获取请求体中的content
    const content = request.body.content;
    if (!content) {
      response.status(400).send('content字段不能为空');
      return;
    }

    // 4. 写入Firestore，关联用户UID
    const db = admin.firestore();
    await db.collection("notes").add({
      content: content,
      uid: uid
    });

    response.sendStatus(201);
  } catch (error) {
    console.error('验证Token或写入数据失败:', error);
    response.status(401).send('身份验证失败');
  }
});

关键说明 #

• 为什么不能直接让前端传UID？因为前端可以随意修改发送的UID值，恶意用户可以冒充其他用户创建笔记，而通过ID Token验证的方式，只有Firebase Auth签发的有效Token才能解析出真实的UID，安全性有保障。
• 匿名用户的ID Token和普通用户的Token验证逻辑完全一致，不需要额外修改。
• 记得在云函数中初始化Admin SDK（你之前的createUserObject函数应该已经做过了，确保admin.initializeApp()已经调用）。

内容的提问来源于stack exchange，提问作者sarunw