Flutter中Firebase Auth获取OIDC提供商AccessToken的正确流程及刷新方案

一、accessToken刷新方案 #

Firebase Auth 默认只管理自身的 ID Token 和 Refresh Token，不会自动刷新第三方 OIDC 提供商颁发的 accessToken，需要手动处理，以下是两种可行方案：

1. 直接调用OIDC提供商的Token刷新端点（推荐） #

你已经请求了offline_access scope，这意味着OIDC提供商会返回refreshToken，可从登录时的credential中获取：

final refreshToken = credential.credential?.refreshToken;

将这个refreshToken和accessToken一起存储到Riverpod中，之后通过调用OIDC提供商的token端点来刷新accessToken，无需用户交互：

import 'dart:convert';
import 'package:http/http.dart' as http;

Future<String?> refreshOidcAccessToken(String refreshToken) async {
  final response = await http.post(
    Uri.parse('https://your-oidc-provider.com/token'),
    headers: {'Content-Type': 'application/x-www-form-urlencoded'},
    body: {
      'grant_type': 'refresh_token',
      'refresh_token': refreshToken,
      'client_id': 'your-client-id',
      // 若提供商要求，需额外传入client_secret等参数
    },
  );

  if (response.statusCode == 200) {
    final data = jsonDecode(response.body);
    return data['access_token'];
  }
  // 处理刷新失败情况（如refreshToken过期）
  return null;
}

触发刷新的时机可选择：

• 解析accessToken的exp字段，提前5分钟自动刷新
• 当后端返回401未授权时，触发刷新并重试请求

2. 使用reauthenticateWithProvider（仅作 fallback） #

reauthenticateWithProvider会触发用户重新授权流程（可能需要再次输入密码），不适合作为常规刷新手段，仅当refreshToken失效、无法自动刷新时，才用它重新获取新的credential和token：

Future<void> reauthenticateAndGetNewToken() async {
  try {
    final user = FirebaseAuth.instance.currentUser;
    if (user == null) return;

    final credential = await user.reauthenticateWithProvider(
      OAuthProvider('oidc.my-oidc-provider')
        ..setScopes(['openid', 'profile', 'email', 'offline_access']),
    );
    final newAccessToken = credential.credential?.accessToken;
    final newRefreshToken = credential.credential?.refreshToken;
    // 更新Riverpod中的token状态
  } catch (e) {
    // 处理授权失败
  }
}

二、登出问题处理 #

Firebase的signOut()方法仅清除本地Firebase会话，不会注销OIDC提供商的全局会话（依赖第三方Cookie），所以需要额外调用OIDC提供商的登出端点：

import 'package:url_launcher/url_launcher.dart';

Future<void> fullSignOut() async {
  // 先退出Firebase
  await FirebaseAuth.instance.signOut();
  
  // 构造OIDC登出URL，参数需与提供商配置一致
  final logoutUrl = Uri.parse('https://your-oidc-provider.com/logout')
      .replace(queryParameters: {
    'client_id': 'your-client-id',
    'redirect_uri': 'your-app-redirect-uri', // 需在OIDC提供商后台配置
    'post_logout_redirect_uri': 'your-app-post-logout-uri', // 可选，登出后跳转回应用
  });

  // 打开登出URL完成全局会话注销
  if (await canLaunchUrl(logoutUrl)) {
    await launchUrl(logoutUrl, mode: LaunchMode.externalApplication);
  }
}

调用这个fullSignOut()方法，就能同时清除Firebase和OIDC提供商的会话，下次登录需要重新输入账号密码。

内容的提问来源于stack exchange，提问作者katkak