使用initializeServerApp时Firebase Auth首次调用返回undefined问题咨询

问题复现 #

参考官方示例实现服务端认证逻辑，代码如下：

// enforces that this code can only be called on the server
// https://nextjs.org/docs/app/building-your-application/rendering/composition-patterns#keeping-server-only-code-out-of-the-client-environment
import "server-only";

import { headers } from "next/headers";
import { initializeServerApp } from "firebase/app";

import { firebaseConfig } from "./config";
import { getAuth } from "firebase/auth";

export async function getAuthenticatedAppForUser() {
  const idToken = headers().get("Authorization")?.split("Bearer ")[1];

  const firebaseServerApp = initializeServerApp(
    firebaseConfig,
    idToken
      ? {
          authIdToken: idToken,
        }
      : {}
  );

  const auth = getAuth(firebaseServerApp);
  await auth.authStateReady();

  return { firebaseServerApp, currentUser: auth.currentUser };
}

实际运行中发现：首次调用getAuthenticatedAppForUser时，新登录用户的currentUser始终返回undefined，第二次及之后调用能获取正确用户信息；添加断点延迟后可正常获取数据，authStateReady()提前返回完成状态的行为不符合预期。

问题原因 #

服务端Firebase Auth的authStateReady()逻辑和客户端存在差异：该方法仅等待Auth模块完成初始化，不会等待传入的authIdToken完成验证并同步用户状态。当通过authIdToken参数初始化Server App时，Firebase会异步验证Token并同步用户信息，但authStateReady()不会等待这个异步流程结束，导致首次调用时用户状态还未更新完成。

解决方案 #

修改代码，主动验证ID Token并获取用户信息，替代依赖authStateReady()的被动等待逻辑：

import "server-only";
import { headers } from "next/headers";
import { initializeServerApp } from "firebase/app";
import { firebaseConfig } from "./config";
import { getAuth, verifyIdToken } from "firebase/auth";

export async function getAuthenticatedAppForUser() {
  const idToken = headers().get("Authorization")?.split("Bearer ")[1];
  const firebaseServerApp = initializeServerApp(firebaseConfig);
  const auth = getAuth(firebaseServerApp);
  
  let currentUser = null;
  if (idToken) {
    try {
      // 手动验证ID Token有效性
      const decodedToken = await verifyIdToken(auth, idToken);
      // 根据解码后的UID获取完整用户信息
      currentUser = await auth.getUser(decodedToken.uid);
    } catch (error) {
      // 处理Token无效、过期或验证失败等异常
      console.error("用户身份验证失败:", error);
    }
  }

  return { firebaseServerApp, currentUser };
}

方案评估 #

这种服务端验证用户身份的方案是推荐的，但需要注意以下几点：

• 确保请求通过HTTPS传输，防止ID Token被窃取
• 每次请求都要重新验证Token，避免重用过期或无效的Token
• 合理处理验证失败的异常，比如返回401未授权状态码给客户端

内容的提问来源于stack exchange，提问作者Hyunwoo Lim