登录5分钟后如何处理Firestore删除与用户权限撤销问题？

核心问题 #

登录超过5分钟后，客户端删除FirebaseUser会触发FirebaseAuthRecentLoginRequiredException，要求重新验证身份；但如果先删除FirebaseUser，又会因失去认证权限无法操作Firestore删除用户数据，陷入两难。

可行解决方案 #

方案1：通过Firebase Admin SDK在后端执行操作

这是最稳妥的方案，Admin SDK不受客户端认证限制，也无需用户重新登录验证，直接在后端完成两步操作：

1. 调用Admin SDK删除Firestore中的用户数据
2. 调用Admin SDK删除Authentication中的用户账户

后端代码示例（Node.js）：

const admin = require('firebase-admin');

// 初始化Admin SDK（需提前配置服务账号）
if (!admin.apps.length) {
  admin.initializeApp({
    credential: admin.credential.cert(serviceAccount)
  });
}

async function revokeUserAccess(uid) {
  try {
    // 1. 删除Firestore用户数据
    await admin.firestore().collection('users').doc(uid).delete();
    // 2. 删除Authentication用户
    await admin.auth().deleteUser(uid);
    console.log(`用户${uid}权限已成功撤销`);
  } catch (error) {
    console.error('撤销权限失败:', error);
    throw error;
  }
}

客户端只需调用后端暴露的接口（传入用户UID）即可，无需处理顺序和权限问题。

方案2：客户端先重新验证用户身份再执行删除

如果必须在客户端完成操作，先触发用户重新验证（比如输入密码、短信验证），获取有效认证凭证后再依次执行删除：
以Android为例的代码示例：

val currentUser = FirebaseAuth.getInstance().currentUser ?: return

// 构造身份验证凭证（以邮箱密码登录为例）
val credential = EmailAuthProvider.getCredential(currentUser.email!!, userInputPassword)

// 重新验证用户
currentUser.reauthenticate(credential)
    .addOnCompleteListener { reauthTask ->
        if (reauthTask.isSuccessful) {
            // 1. 删除Firestore用户数据
            FirebaseFirestore.getInstance()
                .collection("users")
                .document(currentUser.uid)
                .delete()
                .addOnCompleteListener { firestoreTask ->
                    if (firestoreTask.isSuccessful) {
                        // 2. 删除FirebaseUser
                        currentUser.delete()
                    }
                }
        } else {
            // 处理重新验证失败的情况
        }
    }

此方法需要用户额外操作，但能保证客户端操作的合法性。

方案3：调整Firestore安全规则+后台任务清理

通过修改安全规则，允许特定条件下的删除操作，配合后台任务完成最终清理：

1. 先给用户Firestore数据添加markForDeletion: true字段（此时用户仍处于认证状态，可正常写入）
2. 删除FirebaseUser账户
3. 借助Cloud Functions等后台任务，定期清理标记为markForDeletion: true的Firestore数据

Firestore安全规则示例：

match /users/{uid} {
  allow update: if request.auth.uid == uid;
  allow delete: if request.auth.uid == uid || 
    (resource.data.markForDeletion == true && request.auth != null);
}

此方法适合需要保留客户端操作入口，但需额外维护标记字段和后台任务，注意控制安全风险。

推荐方案 #

优先选择方案1，通过Admin SDK在后端处理，既无需用户额外操作，又能彻底避开客户端的权限限制，操作流程更可靠。

内容的提问来源于stack exchange，提问作者Always Learner