后端的 Firebase 管理员用于 verifyIdToken 并使用 Firestore

Question

我正在尝试在我的后端使用 Firebase 管理员通过验证 Id 令牌来“伪造”客户端身份验证，以便从后端使用 firestore。

这个想法是将我的服务器用作我的客户端和 Firestore 之间的中间件。

我可以在后端初始化 FirebaseAdmin 并从客户端正确地 verifyIdToken()，但我不知道在那之后使用 firestore。各位大神能不能给我个方法？

import * as firebaseAdmin from 'firebase-admin';
import firebaseServiceAccountKey from './firebaseServiceAccountKey.json';

if (!firebaseAdmin.apps.length) {
  firebaseAdmin.initializeApp({
    credential: firebaseAdmin.credential.cert(
      firebaseServiceAccountKey
    ),
    databaseURL: ##########################,
  });
}

// This is working 
function getUser(token) {
  return firebaseAdmin
    .auth()
    .verifyIdToken(token)
    .then((decodedToken) => {
      return decodedToken;
    })
    .catch((error) => {
      return error
    });
}

/* 
Now I want to use Firestore authenticated with this token, should I 
import firebase from "firebase" 
and then try auth() with token?
*/

Answer 1

通过 Admin SDK 访问 Firestore 始终具有完全的管理权限。无法以您验证其令牌的用户身份访问 Firestore。

如果您想使用这种中间件方法，您必须确保它只访问用户在代码本身中获得授权的数据。

另见：

• Pass user auth to Firestore from Cloud functions
• How to make Firebase Functions act as a user instead of being an admin?

---

如果目标是更严格地控​​制谁可以登录您的应用，请考虑改用自定义身份验证 - 服务器为每个用户铸造自定义令牌，客户端 SDK然后用于登录。