Firebase SignInWithIDP是否会先向身份提供商验证令牌合法性？

核心验证逻辑 #

SignInWithIDP 不会直接信任客户端提交的IDP令牌，它的核心流程就是在完成Firebase登录前，主动向对应的身份提供商（IDP）发起令牌验证请求：

• 以Epic Games登录场景为例：当Firebase收到客户端发送的Epic令牌后，会自动调用Epic的官方验证接口，校验令牌的完整性（是否被篡改）、有效性（是否过期）以及归属用户的合法性。只有验证通过，才会为用户完成登录，并授予Firestore等资源的访问权限。

实现方案 #

你需要的“先验证IDP令牌合法性再完成登录”的需求，SignInWithIDP就是现成的官方解决方案，无需通过Firebase Cloud Function自行开发。这个端点原生承担了与第三方IDP的验证交互工作，从根源上避免了盲目信任客户端带来的安全风险。

内容的提问来源于stack exchange，提问作者TheCoder