認証サーバーとAPIサーバーが異なる場合のAPIサーバーの保護について

Question

Next.jsとFirebaseでWebアプリを作っています。認証はFirebaseAuthenticationを使ってクライアント側で行なっており、AdminSDKでFirestoreにアクセスする必要がある処理の記述をNext.js組み込みのAPIルートに書いています。

APIサーバーがcurl等で叩けないように認証をかけたいのですが、認証サーバーとAPIサーバーが異なる場合にAPIサーバーでどのように認証を行えばよいのか思い浮かばず質問させていただきました。

ご存知の方いらっしゃいましたらご教授頂けると幸いです。よろしくお願いします。