next-firebase-auth-edge 安全加固App Check、域名限制与令牌撤销检查全攻略【免费下载链接】next-firebase-auth-edgeNext.js Firebase Authentication for Edge and Node.js runtimes. Compatible with latest Next.js features.项目地址: https://gitcode.com/gh_mirrors/ne/next-firebase-auth-edgenext-firebase-auth-edge 是为 Next.js 打造的 Firebase 认证库同时支持 Edge 与 Node.js 运行时。很多开发者用它做登录功能后就直接上线却忽略了三个关键的安全环节。本文将用最直白的方式带你完成 App Check 接入、API Key 域名限制与令牌撤销检查这三道安全防线让你的 Next.js 应用在 Edge 运行时下也能安心应对机器人攻击、密钥泄露和令牌重放风险。为什么你的 Firebase 应用需要安全加固很多新手以为「登录能跑通」就等于安全。实际上未加固的 Firebase 项目普遍面临三大威胁威胁场景后果API Key 被爬虫滥用攻击者绕过登录直接调用后端接口刷爆配额令牌被重放被撤销权限的用户继续访问受保护资源模拟器/调试环境误用生产环境混入测试凭据权限边界失效接下来按「从外到内」的顺序逐一讲解三道防线。第一道防线App Check 防止机器人攻击App Check 的作用是证明「请求来自你的真实应用」而不是脚本或爬虫。next-firebase-auth-edge 内置了对 App Check 的完整支持核心实现位于src/app-check/目录如 token-generator.ts 与 token-verifier.ts。快速接入步骤第一步在客户端获取 App Check 令牌并把它随登录请求一起发送import { getToken } from firebase/app-check; const appCheckTokenResponse await getToken(getAppCheck(), false); await fetch(/api/login, { headers: { X-Firebase-AppCheck: appCheckTokenResponse.token, }, });第二步在服务端通过next-firebase-auth-edge/app-check入口创建并校验令牌import { getAppCheck } from next-firebase-auth-edge/app-check; const { createToken, verifyToken } getAppCheck({ serviceAccount: { /* projectId、privateKey、clientEmail */ }, }); const token await createToken(your-app-id); const result await verifyToken(token);进阶服务端主动创建令牌如果你的架构需要由服务端主动颁发 App Check 令牌例如定时任务或受信任的内部服务同样可以通过createToken(appId, { ttlMillis })完成verifyToken则会在校验失败时直接抛出认证错误。 小提示开启 App Check 后务必同步在 Firebase 控制台配置「强制执行」策略否则它只会记录而不会拦截等于白配。第二道防线API Key 域名限制与 Referer 校验在生产环境中你的 Firebase API Key 应当只允许特定域名调用。除了在 Google Cloud 控制台配置域名白名单代码侧还需要把请求的 Referer 透传给 Google 服务否则域名限制不会生效。next-firebase-auth-edge 提供了现成的getReferer工具函数它位于 src/next/utils.ts能从NextRequest的请求头中提取授权域名import { getFirebaseAuth } from next-firebase-auth-edge/auth; import { getReferer } from next-firebase-auth-edge/next/utils; const { verifyIdToken } getFirebaseAuth(/* 配置 */); export async function POST(request: NextRequest) { await verifyIdToken(token, { referer: getReferer(request.headers) }); } 小提示凡是使用verifyIdToken、handleTokenRefresh、verifyAndRefreshExpiredIdToken等高级接口的场景都记得传入referer选项。漏传 Referer域名限制形同虚设。第三道防线令牌撤销检查 checkRevoked当用户修改密码、被管理员禁用或强制登出时旧的 ID Token 可能仍然「有效」。开启撤销检查后每次校验都会向 Firebase 服务端确认该用户是否被禁用或令牌是否已过期作废核心逻辑见 src/auth/index.ts 中的verifyDecodedJWTNotRevokedOrDisabled实现。开启方法在authMiddleware配置中加入一行即可authMiddleware(request, { // ...其他配置 checkRevoked: true, });什么时候开、什么时候关✅ 建议开启管理后台、支付回调、权限变更敏感的操作接口⚠️ 谨慎开启面向所有请求的全局中间件。因为每次都要向 Firebase 服务端发起网络校验会显著增加延迟官方文档也提醒「除非有明确需求通常不建议全局开启」更推荐的做法是全局保持checkRevoked: false仅在关键 API 路由中用getFirebaseAuth单独调用verifyIdToken(token, { checkRevoked: true })做到精准防护与性能的平衡。加固清单上线前逐项确认最后整理一份可直接对照的检查清单建议复制保存已在 Firebase 控制台开启 App Check 强制执行并在登录接口透传X-Firebase-AppCheck头已在 Google Cloud 控制台配置 API Key 域名白名单所有高级接口调用都传入了referer用getReferer提取关键接口开启了checkRevoked: true全局未盲目开启生产环境使用 HTTPSCookie 的secure置为truecookieSignatureKeys使用长度足够的强随机密钥并定期轮换未在客户端代码中泄露服务账号私钥serviceAccount.privateKey仅存在于服务端完成以上三步加固后你的 next-firebase-auth-edge 项目就拥有了「防机器人、防域名滥用、防令牌重放」的完整纵深防御。从新手到上线这份全攻略值得收藏也欢迎对照项目源码进一步学习每一行安全逻辑的细节。【免费下载链接】next-firebase-auth-edgeNext.js Firebase Authentication for Edge and Node.js runtimes. Compatible with latest Next.js features.项目地址: https://gitcode.com/gh_mirrors/ne/next-firebase-auth-edge创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
