Firebase 中使用服务账户生成自定义 Token 并在后端验证的完整流程-js教程-PHP中文网

Firebase 中使用服务账户生成自定义 Token 并在后端验证的完整流程

本文详解 Firebase Admin SDK 生成 Custom Token 的正确用途，指出 verifyIdToken() 不适用于 Custom Token，并提供从服务端签发、客户端登录、获取有效 ID Token 到后端安全验证的端到端实践方案。

本文详解 firebase admin sdk 生成 custom token 的正确用途，指出 verifyidtoken() 不适用于 custom token，并提供从服务端签发、客户端登录、获取有效 id token 到后端安全验证的端到端实践方案。

在 Firebase 身份验证体系中，Custom Token（自定义 Token）和 ID Token 是两类完全不同的凭证，不可混用验证方法。你当前遇到的错误：

verifyIdToken() expects an ID token, but was given a custom token

正是这一核心原则的直接体现 —— admin.auth().verifyIdToken() 仅接受由 Firebase Auth 签发的、用户已登录后产生的 ID Token（即 JWT 中 kid 对应 Firebase 公钥、aud 为项目 ID、iss 为 https://securetoken.google.com/{projectId} 的标准 OIDC Token），而你调用 createCustomToken() 生成的是用于初始化用户登录流程的临时凭证，它本身不是可直接验证的身份声明。

✅ 正确流程：三步走身份链

步骤	角色	操作	输出
1. 后端签发	你的服务端（Node.js + Admin SDK）	`admin.auth().createCustomToken(uid, claims?)`	`customToken`（JWT，未被 Firebase 公钥签名，仅供客户端一次性使用）
2. 客户端登录	Web / App 前端（使用 Firebase JS SDK）	`signInWithCustomToken(customToken)` → 成功后调用 `user.getIdToken()`	`idToken`（标准 Firebase ID Token，含 `exp`, `iat`, `aud`, `iss` 等完整字段）
3. 后端验证	你的服务端（同一 Admin SDK 实例）	`admin.auth().verifyIdToken(idToken)`	`decodedToken`（解码后的用户身份对象，含 `uid`, `email`, `claims` 等）

? 关键点：Custom Token 是“入场券”，ID Token 才是“身份证”。前者用于换取后者，后者才是服务端可信的身份凭证。

tokenrouter-image-generator
通过 Palebluedot AI(PBD)-TokenRouter 的多模态图像生成端点（`/v1/chat/completions`）使用 TokenRouter 兼容的方式生成或编辑图像...

下载

? 示例代码修正

✅ 后端：正确生成 Custom Token（你已做对）

// firebaseInit.js 已正确初始化 Admin SDK（使用 serviceAccountKey.json）
const admin = require('firebase-admin');
const serviceAccount = require('./path-to-service-account-key.json');
admin.initializeApp({ credential: admin.credential.cert(serviceAccount) });

// ✅ 此处逻辑正确：生成 Custom Token 供前端登录
exports.generateToken = async (req, res) => {
  try {
    const uid = 'test';
    const customToken = await admin.auth().createCustomToken(uid, {
      role: 'third_party_api',
      // 可选：附加自定义声明（将在 ID Token 中透出，需 verifyIdToken 后读取）
    });

    res.json({ oneTimeToken: customToken });
  } catch (error) {
    console.error('Token generation failed:', error);
    res.status(500).json({ error: 'Internal Server Error' });
  }
};

✅ 前端（Web）：使用 Firebase JS SDK 登录并获取 ID Token

<!-- 引入 Firebase SDK -->
<script type="module">
  import { initializeApp } from 'https://www.gstatic.com/firebasejs/10.12.2/firebase-app.js';
  import { getAuth, signInWithCustomToken, getIdToken } from 'https://www.gstatic.com/firebasejs/10.12.2/firebase-auth.js';

  const firebaseConfig = {
    apiKey: "YOUR_WEB_API_KEY",
    authDomain: "YOUR_PROJECT_ID.firebaseapp.com",
    projectId: "YOUR_PROJECT_ID"
  };
  const app = initializeApp(firebaseConfig);
  const auth = getAuth(app);

  // 1. 从你的后端获取 Custom Token
  fetch('https://your-api.com/generate-token')
    .then(res => res.json())
    .then(data => {
      // 2. 使用 Custom Token 登录
      return signInWithCustomToken(auth, data.oneTimeToken);
    })
    .then((userCredential) => {
      // 3. 获取可用于后端认证的 ID Token（默认有效期 1 小时）
      return userCredential.user.getIdToken();
    })
    .then((idToken) => {
      // 4. 发送请求到受保护 API，携带 ID Token
      fetch('https://your-api.com/protected-route', {
        headers: {
          'Authorization': `Bearer ${idToken}`
        }
      });
    })
    .catch((error) => {
      console.error('Auth flow failed:', error);
    });
</script>

✅ 后端：验证真正的 ID Token（关键修正！）

// middleware/auth.js
exports.verifyIdToken = async (req, res, next) => {
  const authHeader = req.headers.authorization;
  if (!authHeader || !authHeader.startsWith('Bearer ')) {
    return res.status(401).json({ error: 'Missing or invalid Authorization header' });
  }

  const idToken = authHeader.split('Bearer ')[1];

  try {
    // ✅ 正确：验证由 Firebase Auth 签发的 ID Token
    const decodedToken = await admin.auth().verifyIdToken(idToken);
    req.user = decodedToken; // 注入用户信息到 request
    next();
  } catch (error) {
    console.error('ID Token verification failed:', error);
    return res.status(401).json({ error: 'Invalid or expired ID token' });
  }
};

// 使用示例（Express）
app.get('/protected-route', verifyIdToken, (req, res) => {
  res.json({
    message: 'Access granted',
    uid: req.user.uid,
    email: req.user.email,
    customClaims: req.user.role // 如你在 createCustomToken 时传入了 claims
  });
});

⚠️ 注意事项与最佳实践

不要在 Postman 中直接测试 Custom Token：Custom Token 是单次、短期有效的登录凭证，必须由 Firebase 客户端 SDK 消费，不能跳过登录步骤直接传递给 verifyIdToken()。
ID Token 有效期为 1 小时：前端应在调用受保护接口前调用 user.getIdToken(true) 强制刷新（尤其在长期运行的 SPA 中）。
Custom Token 有效期为 1 小时：生成后需尽快使用，超时将导致 signInWithCustomToken 失败。
自定义声明需显式授权：若在 createCustomToken(uid, claims) 中添加了 role: 'admin'，需在 verifyIdToken() 后通过 decodedToken.role 访问，且该字段会自动包含在后续 ID Token 中。
服务账户权限检查：确保 Firebase 项目中对应的服务账户具有 Firebase Authentication Admin 角色（通常 roles/firebaseauth.admin）。

✅ 总结

你最初的代码逻辑本身没有错误，问题在于对 Firebase 认证模型的理解偏差。Custom Token 不是最终身份凭证，而是触发登录流程的“启动密钥”。只有完成 signInWithCustomToken() 后，用户才获得 Firebase 签发的、可被 verifyIdToken() 安全验证的 ID Token。遵循这一标准流程，即可实现第三方服务安全、合规地接入 Firebase Authentication。