.NET Firebase Authentication 跨会话保留凭据的最佳实现方案

方案1：利用FirebaseAuthentication.net内置持久化功能 #

这个库本身提供了会话持久化支持，无需手动处理Token存储，是最简便可靠的方案：

• 初始化FirebaseAuthClient时，配置Persistence.Local开启本地持久化，库会自动安全存储用户会话信息（包括Refresh Token）：

  var authConfig = new FirebaseAuthConfig
  {
      ApiKey = "你的Firebase API Key",
      AuthDomain = "你的Firebase Auth Domain",
      Persistence = Persistence.Local // 启用本地持久化
  };
  var authClient = new FirebaseAuthClient(authConfig);
  

• 应用重启后，直接通过authClient.CurrentUser获取已持久化的用户对象，调用GetIdTokenAsync即可获取有效Id Token（Token过期时会自动刷新）：

  if (authClient.CurrentUser != null)
  {
      // true表示强制刷新，确保获取的是最新有效Token
      var idToken = await authClient.CurrentUser.GetIdTokenAsync(true);
      // 使用idToken进行后续业务请求
  }
  

方案2：手动管理Refresh Token（内置持久化不满足需求时） #

如果需要更灵活的会话控制，可以手动存储Refresh Token并通过它恢复会话：

• 安全存储Refresh Token：登录/注册成功后，提取Refresh Token并使用.NET MAUI的SecureStorage存储（避免明文存储敏感信息）：

  // 登录成功后
  var refreshToken = userCredential.User.RefreshToken;
  await SecureStorage.SetAsync("firebase_refresh_token", refreshToken);
  

• 重启后恢复会话：应用启动时取出Refresh Token，调用库的SignInWithRefreshTokenAsync方法重建用户会话：

  var savedRefreshToken = await SecureStorage.GetAsync("firebase_refresh_token");
  if (!string.IsNullOrEmpty(savedRefreshToken))
  {
      try
      {
          var userCredential = await authClient.SignInWithRefreshTokenAsync(savedRefreshToken);
          // 会话恢复成功，获取新的有效Id Token
          var idToken = await userCredential.User.GetIdTokenAsync(true);
      }
      catch (FirebaseAuthException)
      {
          // Refresh Token无效（如过期、被吊销），清除存储并引导用户重新登录
          await SecureStorage.RemoveAsync("firebase_refresh_token");
          // 跳转到登录页面
      }
  }
  

不推荐的方案说明 #

• 序列化UserCredential：该对象包含大量内部状态和依赖，序列化容易导致数据损坏或安全风险，属于权宜之计，不建议采用。
• 存储用户密码：完全违背Token机制的安全设计，可能导致密码泄露，绝对禁止。

内容的提问来源于stack exchange，提问作者Charles