Firebase Auth：ID令牌刷新时机及过期后行为问题

问题1：ID令牌过期后会发生什么？Firebase何时使用刷新令牌获取新ID令牌？ #

• ID令牌默认有效期为1小时，过期后用它请求Firebase后端服务（如Firestore、Storage）会返回401 Unauthorized错误。
• Firebase Auth SDK自动触发刷新令牌获取新ID令牌的场景：
  • 调用需要有效ID令牌的Firebase服务API时，检测到当前令牌已过期
  • 主动调用Firebase.auth.currentUser?.getIdToken(true)强制刷新
  • 应用重启后首次执行需要身份验证的操作（并非启动立刻刷新，而是在实际需要令牌时触发）

问题2：哪些操作会触发令牌刷新？是否需主动调用刷新？如何判断ID令牌是否过期？ #

• 自动触发令牌刷新的操作：
  • 调用Firestore、Realtime Database、Storage等需要身份验证的服务API
  • 调用getIdToken(true)（强制绕过本地缓存，直接向服务器请求新令牌）
  • 用户重启应用后首次访问受保护的资源
• 通常不需要主动刷新，SDK会自动处理令牌过期逻辑。但如果你的业务需要确保令牌是最新状态（比如自定义后端验证场景），可以主动调用getIdToken(true)。
• 判断ID令牌是否过期：
  • 获取令牌后解析其JWT payload，查看exp字段（过期时间戳，单位为秒），与当前时间戳对比即可。不过更推荐依赖SDK自动处理，因为即使令牌过期，SDK会在需要时自动刷新，无需手动判断。

问题3：为何ID令牌过期后用户对象仍显示isAuthenticated = true？ #

• currentUser和isAnonymous都是SDK本地缓存的状态，不会实时同步Firebase控制台的用户删除操作。
• 只有当SDK尝试使用刷新令牌向Firebase服务器请求新ID令牌时，才会发现用户已被删除，此时SDK才会清除本地缓存的currentUser，并触发AuthStateListener的回调。
• 你的代码中仅通过currentUser?.isAnonymous判断登录状态，这只是读取本地缓存的旧数据，没有触发任何需要与服务器交互验证令牌的操作。因此即使用户被删除、令牌过期，本地缓存的状态也不会自动更新，导致isLoggedIn一直为true。

代码问题分析与修复建议 #

你的代码中，启动时和延迟3秒后都是读取本地缓存的用户状态，没有触发服务器验证：

// 仅读取本地缓存，无服务器交互
val loginState = !(Firebase.auth.currentUser?.isAnonymous ?: true)

要解决这个问题，可以在启动时主动触发令牌刷新，强制与服务器验证用户状态：

LaunchedEffect(Unit) {
    Firebase.auth.currentUser?.let { user ->
        runCatching {
            user.getIdToken(true) // 强制刷新令牌，触发服务器验证
        }.onFailure {
            // 刷新失败，说明用户已被删除或令牌无效，清除本地状态
            Firebase.auth.signOut()
        }
    }
}

这样，当用户已在控制台被删除时，getIdToken(true)会抛出异常，此时调用signOut()清除本地缓存，AuthStateListener会收到currentUser为null的回调，登录状态也会更新为未登录。

内容的提问来源于stack exchange，提问作者Bradleycorn