Firebase Auth Google登录用户ID令牌频繁失效（错误17021）原因分析

我的iOS应用集成了Firebase Authentication并提供Google登录功能，发现部分Google登录用户调用Firebase Auth SDK的getIDToken(forcingRefresh: false)获取Firebase ID令牌时失败，错误信息如下：

Domain: FIRAuthErrorDomain Code: 17021 NSLocalizedDescription: The user's credential is no longer valid. The user must sign in again.

该问题几乎仅出现在Google登录用户身上，邮箱/密码或Apple登录用户无此问题。

我原本的理解是：调用getIDToken时，若当前ID令牌过期，SDK会后台自动用刷新令牌刷新，只要刷新令牌未过期，ID令牌就不会失效。另外我也了解到第三方OAuth访问令牌（比如Google OAuth access token）不参与Firebase认证流程，所以其过期应该不是问题诱因。

想请教：为何该问题仅在Google登录场景下出现？比如Google登录对应的Firebase刷新令牌是否时效更短？

针对Google登录用户独有的这个17021错误，主要有以下几个核心原因：

1. Google登录的刷新令牌时效限制 #

Google OAuth 2.0针对iOS平台的登录有特殊的令牌规则：默认发放的是短期刷新令牌（有效期通常为7天），而非长期有效令牌。当这个短期令牌过期后，Firebase SDK无法再通过它刷新ID令牌，就会直接抛出17021错误。

而邮箱/密码登录的Firebase刷新令牌默认长期有效（除非用户主动登出、账号被禁用或触发安全机制）；Apple登录的刷新令牌也遵循Apple自身的长期有效规则，因此这两类用户极少遇到此类问题。

2. Google账号的安全操作触发凭据失效 #

如果用户在Google账号端执行了以下安全操作，会直接导致关联的Firebase刷新令牌失效：

• 修改Google账号密码
• 启用/修改两步验证设置
• 在其他设备登出Google账号
• 撤销应用对Google账号的授权
  这些操作只会影响Google登录关联的Firebase凭据，不会波及其他登录方式的凭据，因此仅在Google登录用户中出现问题。

3. Firebase与Google OAuth的状态同步延迟 #

极少数情况下，Firebase后台与Google OAuth系统的凭据状态同步出现延迟，导致Firebase误判用户的刷新令牌已失效，此时调用getIDToken就会触发报错。这种情况通常是临时的，但如果用户的Google刷新令牌本身已接近过期，触发概率会更高。

解决方案建议 #

• 捕获17021错误后，直接引导用户重新完成Google登录，重新获取有效的刷新令牌和ID令牌。
• 若需要长期维持登录状态，可以在应用中设置定期任务（比如每6天），主动调用getIDToken(forcingRefresh: true)提前触发令牌刷新，避免因Google短期刷新令牌过期导致的报错。

内容的提问来源于stack exchange，提问作者Toru