如何在后端验证 Firebase 管理员

Question

我正在尝试在快速服务器中实现中间件，该服务器在传入请求上设置自定义 uid/admin 标头。这个修改后的请求将在中间件之后使用，以查看经过身份验证的用户/管理员是否正在访问该特定资源。

要为客户端执行此操作，我只需获取 Authorization 标头上的令牌并将其输入 firebase 管理 api 的 verifyIdToken 方法。如果存在 uid，我设置标题。例如：

app.use((req, res, next) => {
  /* get rid of headers sent in by malicious users. */
  delete req.headers._uid;
  try {
    const token = req.headers.authorization.split(' ')[1];
    _dps.fb_admin.auth().verifyIdToken(token).then(claims => {
      if (claims.uid) { req.headers._uid = claims.uid; }
      next();
    }).catch(err => next());
  } catch(err) { next(); }
});

两个问题：

1) 作为在另一台服务器上拥有服务帐户的管理员，我如何向该服务器发送请求，以便该服务器可以确定管理员发送了请求？

2) 我如何识别此服务器上的管理员？

Answer 1

也许一种解决方案是简单地生成一个适当长度的 API 密钥，并将其设置为我每台服务器上的环境变量。然后，每当我想发出管理员 https 请求并通过简单的字符串比较在接收器的中间件中验证它时，我就可以在 Authorization 标头中发送它。唯一可以看到此 API 密钥的人是有权访问我的服务器的人（AKA 管理员）。让我知道这种方法是否有问题。确实看起来很简单。

Answer 2

使用setCustomUserClaims() API 为所有管理员用户帐户添加一个特殊的“管理员”声明，并在验证 ID 令牌时检查它。您可以找到此用例 here 的讨论和演示（跳到录音的 6:45 标记处）。

Answer 3

1. 您需要创建自己的自定义 Firebase 令牌，以在 JWT 中包含自定义字段，例如 isAdmin: true。见https://firebase.google.com/docs/auth/admin/create-custom-tokens

2. 见（1）