核心用法
Firebase Management API skill 是 Maton 提供的托管式 OAuth 代理服务，封装 Google 原生 Firebase Management REST API，使开发者无需自行处理 OAuth 2.0 授权流程即可管理 Firebase 项目及其应用。
认证流程：用户通过 Maton API key 发起请求 → Maton 代理层注入 OAuth token → 转发至 firebase.googleapis.com。首次使用需在浏览器完成 Google OAuth 授权，后续请求自动复用 token。
主要功能模块：
| 模块 | 能力 |
|------|------|
| 项目管理 | 列出、更新项目，为现有 GCP 项目添加 Firebase 服务 |
| Web 应用 | CRUD 操作，获取配置（含 API key、authDomain 等），支持软删除恢复（30 天内） |
| Android 应用 | 管理应用信息、SHA 证书，下载 `google-services.json` |
| iOS 应用 | 管理 Bundle ID，下载 `GoogleService-Info.plist` |
| Analytics | 关联/解绑 Google Analytics 账户与属性 |
典型工作流：
1. 创建连接 → 浏览器授权 → 获取 connection_id
2. 通过 Maton-Connection 头指定连接（多账户场景必需）
3. 调用对应端点，如创建 Web 应用 → 异步返回 Operation → 轮询 /operations/{id} 确认完成
显著优点
- 零 OAuth 开发成本：Maton 托管 token 刷新、作用域管理，避免自建 OAuth 服务器的维护负担
- 原生 API 完整覆盖：支持 Firebase Management API v1beta1 全部功能，包括项目级操作、多平台应用、SHA 证书、Analytics 集成
- 多账户友好：通过 connection_id 轻松切换不同 Firebase/Google 账户
- 异步操作兜底：创建/删除等长时操作返回 Operation 对象，可标准方式追踪状态
- 配置即代码：直接获取 Web/Android/iOS 应用配置文件，便于 CI/CD 集成
潜在缺点与局限性
- 第三方代理依赖：核心流量经 Maton 中转，可用性受制于 Maton 服务 SLA；文档未明示 SLA 承诺
- 权限粒度粗：OAuth 作用域为 Google 账户级，无法细粒度限制到单项目或单应用
- 异步复杂性：创建操作非即时完成，需额外轮询逻辑，简单脚本场景增加代码量
- v1beta1 版本风险：API 路径含
v1beta1，存在 Google 未来变更或弃用可能 - 删除不可逆窗口：
immediate: true参数使删除即时生效，无二次确认；虽支持 30 天内 undelete，但误操作仍可能导致服务中断
适合人群
- 移动开发团队：需批量管理 Android/iOS 应用配置、自动化 Firebase 项目初始化
- DevOps/SRE：将 Firebase 资源配置纳入 IaC 流程，或需在 CI 中动态创建临时测试环境
- 多账户管理者：代理运营、白标业务场景下需频繁切换不同 Google/Firebase 账户
- 快速原型开发者：不愿投入时间配置 Firebase CLI 或 Google Cloud SDK，追求 API 直接调用
常规风险
| 风险类别 | 描述 |
|----------|------|
| 密钥泄露 | `MATON_API_KEY` 若泄露，攻击者可访问所有已授权 Firebase 资源；需严格遵循密钥最小权限原则，避免硬编码 |
| OAuth 授权过度 | 用户可能未细审授权作用域，导致 Maton 获得超出预期的 Google 账户权限 |
| 误操作数据丢失 | 带 `immediate: true` 的删除操作即时生效，脚本批量执行时风险较高；建议生产环境操作前人工确认 |
| 供应商锁定 | 深度依赖 Maton 代理层，若服务中断或定价变更，迁移至直连 Firebase API 需重构认证层 |
| 合规考量 | Firebase 项目可能涉及用户数据分析，需确保通过 Maton 代理传输符合 GDPR/CCPA 等数据跨境规定 |