如何解决Firebase Auth自定义声明令牌同步的时序问题

问题背景 #

你当前通过Firestore规则，利用自定义声明限制post集合的读写权限：

match /post/{postId}{
      allow create: if request.auth.token[role] == `admin`;
      allow read: if request.auth.token[role] == `admin`;   
 }

注册流程为用户注册后，通过Cloud Functions监听members文档的onCreate事件，异步分配admin角色：

const functions = require('firebase-functions');
import { getAuth } from 'firebase-admin/auth'; // 补充缺失的依赖导入

export const updateAcl = functions
  .firestore.document("/members/{memberId}")
  .onCreate(async(snapshot, context) => { // 修正原代码参数错误：触发器第一个参数为文档快照
      const userUid = context.params.memberId;
      await getAuth().setCustomUserClaims(userUid, {role:'admin'});
  });

核心问题：云函数设置自定义声明是异步操作，前端在注册完成后立即加载内容时，用户令牌尚未更新，会因无admin角色被规则拦截，导致首次访问无法正常展示内容。

可行解决方案 #

1. 前端主动刷新用户令牌 #

用户注册完成后，强制刷新ID令牌，确保获取到包含最新自定义声明的令牌，再请求post数据：

// 注册成功后执行
auth.currentUser.getIdToken(true) // true表示强制从服务器拉取最新令牌
  .then(() => {
    // 令牌已更新，可正常请求post数据
    return db.collection('post').get();
  })
  .then(querySnapshot => {
    // 处理数据展示逻辑
  })
  .catch(error => {
    console.error('刷新令牌失败:', error);
  });

此方法直接有效，因为强制刷新会同步服务器最新的自定义声明信息。

2. 监听用户角色存储文档的变化 #

将角色同时写入members文档，前端监听自己的members文档，待角色字段出现后再加载内容：

调整云函数（同步写入角色到文档）：

export const updateAcl = functions
  .firestore.document("/members/{memberId}")
  .onCreate(async(snapshot, context) => {
      const userUid = context.params.memberId;
      // 设置自定义声明
      await getAuth().setCustomUserClaims(userUid, {role:'admin'});
      // 将角色写入members文档
      await snapshot.ref.update({ role: 'admin' });
  });

调整Firestore规则（允许用户读取自己的members文档）：

match /members/{memberId} {
  allow read: if request.auth.uid == memberId;
}

前端监听代码：

const uid = auth.currentUser.uid;
db.collection('members').doc(uid).onSnapshot(snapshot => {
  const userData = snapshot.data();
  if (userData?.role === 'admin') {
    // 角色已设置，加载post内容
    db.collection('post').get().then(querySnapshot => {
      // 处理数据展示
    });
  }
});

3. 轮询检查自定义声明（备选方案） #

如果上述方法不适用，可在注册后轮询用户的自定义声明，直到获取到角色：

function checkUserRole(retryCount = 0) {
  const maxRetries = 5;
  if (retryCount >= maxRetries) return Promise.reject('超过重试次数');
  
  return auth.currentUser.getIdTokenResult()
    .then(idTokenResult => {
      if (idTokenResult.claims.role === 'admin') {
        return true;
      }
      // 未获取到，1秒后重试
      return new Promise(resolve => setTimeout(() => resolve(checkUserRole(retryCount + 1)), 1000));
    });
}

// 注册成功后调用
checkUserRole().then(() => {
  // 加载post内容
}).catch(err => {
  console.error('获取角色超时:', err);
});

需设置重试次数上限，避免无限轮询。

4. 临时放宽权限（谨慎使用） #

若场景允许新注册用户临时访问，可调整Firestore规则，结合members文档存在性判断，给刚注册用户临时权限：

match /post/{postId} {
  allow read: 
    request.auth.token.role == 'admin' || 
    (exists(/databases/$(database)/documents/members/$(request.auth.uid)) && 
     request.auth.token.role == null);
}

此方法存在安全风险，仅适用于信任所有注册用户的场景，敏感数据场景不推荐使用。

内容的提问来源于stack exchange，提问作者Takeshi