NodeJs 和 React with Firebase auth：如何保护 nodejs api 端点？

Question

我有一个带有 NodeJS 后端（带有 Express）和 React 前端的应用程序。 用户身份验证由前端在 Firebase 身份验证的帮助下直接处理。 现在，我在后端有一些我想从前端访问的端点，例如用从后端获取的数据填充“选择”小部件选项，或者将一些数据写入由后端控制的数据库。

我如何确保我的端点是安全的，并且只有我的 React 前端才能访问它们？

我阅读了有关使用 JWT 的信息，但据我了解，令牌需要在后端生成并在登录期间发送给用户。问题是我前端的登录不涉及后端的任何内容。

Answer 1

用户身份验证由前端在 Firebase 身份验证的帮助下直接处理

我假设您在前端使用Firebase SDK 并使用用户的登录凭据调用signInWithEmailAndPassword 或signInWithPhoneNumber 等方法。此类登录方法返回一个 UserCredential 对象，该对象具有用户的 ID 令牌。

当您进行后端调用时，您可以将此 ID 令牌作为标头包含在这些请求中。然后在后端可以使用Firebase Admin Auth SDK的verify ID tokens方法来验证收到的ID token。