多次成功登录后Google Identity Toolkit API返回400错误

我有一个Firebase Function，通过Google Identity Toolkit的signInWithPassword端点验证请求是否来自授权用户。多数情况下功能正常，但当针对同一用户频繁触发登录请求（每5秒一次，持续10分钟）时，会开始返回400 'ERR_BAD_REQUEST'错误。表现形式不一：有时先失败一次后重试成功，随后反复失败；有时直接进入持续失败状态；偶尔能顺利完成10分钟操作，但这种情况极少。

登录代码如下：

const signIn = {
    url: 'https://identitytoolkit.googleapis.com/v1/accounts:signInWithPassword?key=abc123',
    data: {
        email: email,
        password: pass,
        returnSecureToken: true,
    },
    config: {
        headers: {
            'Content-Type': 'application/json',
        },
    },
};
const authRes = await axios.post(signIn.url, signIn.data, signIn.config);

可能的原因及解决方法 #

• 触发速率限制：Google Identity Toolkit对同一用户的登录请求设有频率限制，短时间内大量请求会触发安全防护机制，返回400错误。

  • 解决思路：复用有效凭证，避免重复登录。首次登录成功后，将返回的idToken缓存起来，后续验证直接使用Firebase Admin SDK的verifyIdToken方法校验token有效性，无需每次调用登录接口。
  • 示例代码：

    const admin = require('firebase-admin');
    admin.initializeApp(); // 确保已完成Admin SDK初始化配置
    
    async function verifyUserToken(idToken) {
      try {
        const decodedToken = await admin.auth().verifyIdToken(idToken);
        return decodedToken; // token有效，返回解码后的用户信息
      } catch (err) {
        // token过期或无效时，再触发登录流程
        throw err;
      }
    }
    

• 异常请求频率被拦截：即使是同一用户，过于频繁的登录请求会被判定为异常行为，触发拦截。

  • 解决思路：添加限流或防抖逻辑。在idToken有效期内（默认1小时），禁止重复发起登录请求；若因特殊场景必须触发，将请求间隔调整至30秒以上，避免触发防护阈值。

• 未捕获详细错误信息：400错误通常包含具体错误码（如TOO_MANY_ATTEMPTS_TRY_LATER），但当前代码未捕获响应详情，无法精准定位问题。

  • 解决思路：完善错误捕获逻辑，打印错误响应内容：

    try {
      const authRes = await axios.post(signIn.url, signIn.data, signIn.config);
    } catch (error) {
      if (error.response) {
        console.error('登录错误详情:', error.response.data);
        // 根据具体错误码做针对性处理，比如延迟重试
      }
    }
    

• Firebase Function资源限制：如果Function因内存不足、超时等问题导致请求异常，也可能间接引发登录接口的错误。

  • 解决思路：查看Function的日志记录，确认是否存在资源配额不足或超时情况，必要时调整Function的内存分配或超时参数。

内容的提问来源于stack exchange，提问作者Matthew Michaud