Firebase ID Token 'aud'字段错误：按流程操作仍未解决

核心原因 #

Firebase ID Token的aud字段代表令牌的目标受众，验证时要求该字段必须与服务端初始化Admin SDK时绑定的项目ID完全匹配。验证失败大多是因为客户端获取的token所属项目，与服务端Admin SDK对应的项目不一致。

具体排查与解决步骤 #

• 核对客户端与服务端的项目ID一致性

  1. 打开Firebase控制台，进入项目的「项目设置」→「常规」页，复制项目ID（例如你的localmall-671bc）
  2. 检查Android客户端google-services.json中的project_id字段，确认和上述项目ID完全一致
  3. 检查服务端私钥文件localmall-671bc-firebase-adminsdk-cmhnh-37939ebb19.json里的project_id字段，同样要和项目ID完全匹配
     （注意：项目ID区分大小写，由小写字母、数字和连字符组成，不能有任何拼写错误）

• 确认客户端获取ID Token的逻辑正确
  必须从当前登录的Firebase用户对象获取token，避免使用旧缓存或错误来源的token：

  FirebaseUser user = FirebaseAuth.getInstance().getCurrentUser();
  if (user != null) {
      // 强制刷新token，避免使用过期或错误的缓存token
      user.getIdToken(true)
          .addOnCompleteListener(task -> {
              if (task.isSuccessful()) {
                  String idToken = task.getResult().getToken();
                  // 将token发送至服务端验证
              } else {
                  // 处理token获取失败逻辑
              }
          });
  }
  

• 检查服务端Admin SDK初始化逻辑
  确保使用正确的私钥文件初始化，且只初始化一次：

  FileInputStream serviceAccount = new FileInputStream("path/to/localmall-671bc-firebase-adminsdk-cmhnh-37939ebb19.json");
  
  FirebaseOptions options = new FirebaseOptions.Builder()
      .setCredentials(GoogleCredentials.fromStream(serviceAccount))
      .build();
  
  // 避免重复初始化导致的配置混乱
  if (FirebaseApp.getApps().isEmpty()) {
      FirebaseApp.initializeApp(options);
  }
  

• 验证服务端token校验逻辑
  不要手动干预aud字段的验证，让Admin SDK自动处理：

  public void verifyIdToken(String idToken) throws FirebaseAuthException {
      FirebaseToken decodedToken = FirebaseAuth.getInstance().verifyIdToken(idToken);
      String uid = decodedToken.getUid();
      // 校验成功，可获取用户UID等信息
  }
  

• 排查多项目混淆问题
  若存在多个Firebase项目，确认Android客户端未误连接其他项目，服务端也未使用其他项目的私钥文件。可尝试清理Android项目构建缓存，重新同步google-services.json。

额外验证手段 #

可以解码token直接对比aud字段与服务端项目ID：

try {
    // 跳过校验仅解码token，查看aud字段值
    FirebaseToken decodedToken = FirebaseAuth.getInstance().verifyIdToken(idToken, true);
    System.out.println("Token的aud字段值: " + decodedToken.getAudience());
    System.out.println("服务端绑定的项目ID: " + FirebaseApp.getInstance().getOptions().getProjectId());
} catch (FirebaseAuthException e) {
    e.printStackTrace();
}

若两个值不一致，直接定位到项目不匹配的问题。

内容的提问来源于stack exchange，提问作者joe