Firebase托管的Nuxt子域名间共享JWT Token遇阻求助

核心问题分析 #

你看到子域B能显示Cookie但无法加载Token（返回404），本质不是Firebase限制自定义JWT存储，而是Cookie的实际传输、Token验证逻辑或Cookie属性配置存在疏漏，以下是具体排查方向：

1. 检查请求是否真的携带了Cookie #

开发者工具中看到Cookie存在，不代表请求时会自动发送：

• 确认两个子域都处于HTTPS环境：secure: true要求Cookie仅在HTTPS下传输，若子域B是HTTP，Cookie不会被携带。
• 核对sameSite: strict的影响：该属性要求Cookie仅在同站同上下文的请求中发送——如果子域B的页面是从外部链接跳转过来的，或者发起的是跨子域的AJAX请求（比如从technical.igeddit.ca请求elearning.igeddit.ca的接口），strict会阻止Cookie发送。可临时改为sameSite: 'lax'测试是否恢复正常。

2. 排查Token验证逻辑导致的404误返回 #

404错误可能是后端验证Token失败后，错误返回了404而非401/403：

• 确认子域B的后端在验证Firebase ID Token时，已正确初始化Firebase Admin SDK，且项目配置包含两个子域的授权域名。
• 验证Token的iss（签发者）和aud（受众）是否匹配：Firebase ID Token的iss是https://securetoken.google.com/<你的Firebase项目ID>，aud是你的Firebase项目ID，后端必须验证这两个字段，否则会判定Token无效。
• 检查Token是否过期：Firebase ID Token默认有效期1小时，若用户登录后超过1小时未刷新，Token会失效，后端验证失败可能返回404。

3. Cookie属性的补充配置 #

• 若后端需要从Cookie读取Token，确保未设置HttpOnly: true（除非你刻意阻止前端读取）；若前端JS需要读取Token，必须去掉HttpOnly属性。
• 确认path: "/"配置正确，确保Cookie在子域的所有路径下都能被访问。

4. Firebase会话Cookie的替代方案（若需要） #

如果你需要更稳定的跨子域会话管理，可以使用Firebase官方的会话Cookie机制：

1. 在子域A的前端，调用firebase.auth().currentUser.getIdToken()获取ID Token。
2. 将ID Token发送到你的后端（比如Firebase Functions），调用admin.auth().createSessionCookie(idToken, { expiresIn: <有效期> })生成会话Cookie。
3. 后端设置Cookie时，同样配置domain: '.igeddit.ca', path: "/", sameSite: 'lax', secure: true，同时添加HttpOnly: true提升安全性。
4. 子域B的后端通过admin.auth().verifySessionCookie(cookieValue, true)验证会话Cookie的有效性。

内容的提问来源于stack exchange，提问作者sandalwoodsh