Flutter与Next.js：新获取的Firebase ID Token在Node端验证失败

架构老林

2026-6-15

Firebase ID Token验证失败："Invalid or expired token" 排查与解决

核心问题排查与解决方案

1. 环境变量项目ID的多余后缀

你的.env配置中NEXT_PUBLIC_FIREBASE_PROJECT_ID=my-app.末尾多了一个英文句号（.），虽然初始化Admin SDK时未直接使用该变量，但错误的项目ID配置可能间接导致校验时的项目匹配异常。

解决：修正环境变量为NEXT_PUBLIC_FIREBASE_PROJECT_ID=my-app，移除末尾的句号。

2. Token传递方式的编码/截断问题

当前通过URL查询参数传递ID Token，虽然ID Token采用Base64URL编码（兼容URL），但前端未做URL编码、服务器解析时的隐性截断等场景，都可能导致Token不完整。

解决：改用HTTP请求头传递Token，更安全且避免编码问题：

Flutter端请求示例：

var response = await http.get(
  Uri.parse('你的服务器接口地址'),
  headers: {'Authorization': 'Bearer $idToken'},
);

Node/Next.js端获取示例：

const token = req.headers.authorization?.split('Bearer ')[1];
if (!token) return res.status(400).send('No token found');

3. 验证Token完整性

在服务器的catch块中打印完整错误对象与收到的Token，对比Firebase日志中的原始Token是否完全一致：

catch (error) {
  console.error('完整错误详情:', error);
  console.error('服务器收到的Token:', token); // 确认Token是否完整
  return res.status(401).send('Invalid or expired token');
}

若Token不一致，说明前端传递过程中出现截断或编码错误，需排查前端请求逻辑。

4. 优化Admin SDK初始化

简化初始化配置，显式指定项目ID确保与Token的aud/iss字段匹配：

if (!admin.apps.length) {
  admin.initializeApp({
    credential: admin.credential.cert(serviceAccount),
    projectId: 'my-app' // 显式声明项目ID，与Token中的aud字段一致
  });
}