我正在使用Delphi后端的JWT来验证FirebaseID令牌
这是否足以验证和避免令牌操作，或者我应该使用私钥做些什么？
您需要私钥来铸造ID令牌，但不需要验证ID令牌。所需的只是公钥和一些项目配置值。
验证ID令牌在Firebase留档中进行了描述：https://firebase.google.com/docs/auth/admin/verify-id-tokens#verify_id_tokens_using_a_third-party_jwt_library.如果您已执行这些步骤，则可以确保令牌属于它声称的用户和项目。
