当您的应用需要代表用户访问数据时，请使用用户账号凭据进行身份验证；其他情况下，则使用服务账号凭据。可以使用用户账号凭据的情景示例如下：
- Web 服务器应用
- 安装型应用和桌面应用
- 移动应用
- 客户端 JavaScript
- 输入受限的设备上的应用
如需详细了解这些情景，请参阅 OAuth 2.0 情景。
如果您要设计一个应用，并让该应用支持最终用户使用多种身份验证方案，请使用 Firebase 身份验证，该功能支持电子邮件和密码身份验证以及使用身份提供商（例如 Google、Facebook、Twitter、GitHub）提供的身份执行联合登录。 如需详细了解如何针对不同用例设置身份验证系统，请参阅从何处入手使用 Firebase Authentication。
当最终用户在以用户为中心的身份验证流程中向应用授予访问令牌时，该访问令牌包含的权限将与授予令牌的用户所具有的权限一致。例如，如果 jane@example.com 具有 example-bucket 的 read-only 访问权限，则 Jane 授予了 read-write 访问权限的应用将无法代表她向 example-bucket 执行写入操作。