Firebase Functions为已删除Auth0用户返回有效JWT的问题排查

我来帮你拆解这个问题，结合Auth0和Firebase Cloud Functions的工作机制，大概率是以下几个核心原因导致的：

1. Auth0的用户删除未彻底生效，或仍在为已删除用户签发JWT #

理论上Auth0应该拒绝为已删除用户签发新token，但实际场景中可能存在这些情况：

• 数据同步延迟：删除用户的操作可能需要几分钟才能同步到Auth0的所有服务节点，尤其是跨区域部署的场景。你可以等待10-15分钟后再测试，看看是否恢复正常。
• 误用Refresh Token换取新token：如果你是通过Refresh Token获取新的Access Token（而非重新执行完整登录流程），Auth0默认不会在每次刷新时检查用户是否存在（除非你配置了专属规则）。这种情况下，Refresh Token在过期前仍能换取有效Access Token。
• 自定义规则/钩子存在漏洞：如果你给Auth0加了自定义登录规则或钩子，可能遗漏了验证用户状态的逻辑，导致已删除用户的登录请求被意外放行。

2. Firebase Cloud Functions的JWT验证未检查用户存在性 #

默认的JWT验证只做基础校验：

• 签名是否匹配Auth0公钥
• token是否未过期
• 受众（Audience）和发行人（Issuer）是否符合预期

这个过程不会主动去Auth0验证用户是否仍然存在。所以哪怕用户被删除，只要JWT满足上述基础条件，你的后端就会判定为合法请求，允许访问受保护路由。

解决办法： #

在Firebase Functions的验证逻辑中，额外添加用户存在性检查：

1. 从验证后的JWT中提取用户ID（sub字段）
2. 调用Auth0的/api/v2/users/{user_id}端点（需要Auth0管理API令牌），确认用户是否存在
3. 如果用户不存在，直接返回401 Unauthorized响应

示例代码（Node.js）：

const axios = require('axios');

// 先实现获取Auth0管理API令牌的逻辑
async function getAuth0ManagementToken() {
  const response = await axios.post('https://your-auth0-domain/oauth/token', {
    grant_type: 'client_credentials',
    client_id: 'your-management-client-id',
    client_secret: 'your-management-client-secret',
    audience: 'https://your-auth0-domain/api/v2/'
  });
  return response.data.access_token;
}

async function verifyUserExists(userId) {
  const managementToken = await getAuth0ManagementToken();
  try {
    await axios.get(`https://your-auth0-domain/api/v2/users/${userId}`, {
      headers: { Authorization: `Bearer ${managementToken}` }
    });
    return true;
  } catch (error) {
    if (error.response?.status === 404) {
      return false;
    }
    throw error;
  }
}

// 在你的云函数中集成检查逻辑
exports.protectedRoute = functions.https.onRequest(async (req, res) => {
  // 先完成JWT基础验证（省略已有验证逻辑）
  const decodedToken = await verifyJwt(req.headers.authorization);
  if (!decodedToken) {
    return res.status(401).send('Invalid token');
  }

  // 检查用户是否存在
  const userExists = await verifyUserExists(decodedToken.sub);
  if (!userExists) {
    return res.status(401).send('User no longer exists');
  }

  // 处理正常请求
  res.send('Access granted');
});

3. 缓存控制设置不影响JWT的签发与验证 #

你设置的no-store是用来阻止客户端缓存响应的，但这和Auth0签发token、后端验证token的逻辑完全无关，所以这个设置无法解决当前问题，问题依旧是符合预期的。

内容的提问来源于stack exchange，提问作者Khathu Musekwa