长时间未访问后Firebase返回undefined刷新令牌的问题

排查与解决方案 #

1. 确认会话持久化配置 #

Firebase Auth默认使用local持久化，但浏览器隐私设置或插件可能清除本地存储的refresh token。显式设置持久化策略，确保会话能被持久保存：

import { getAuth, setPersistence, browserLocalPersistence } from "firebase/auth";

const auth = getAuth();
setPersistence(auth, browserLocalPersistence)
  .then(() => {
    // 执行登录逻辑（如signInWithEmailAndPassword）
  })
  .catch(err => console.error("持久化配置失败:", err));

同时检查浏览器是否允许本地存储，有无自动清除缓存的插件或隐私规则。

2. 完善token刷新的错误捕获 #

当refresh token丢失或失效时，Firebase会抛出特定错误码，在Auth状态监听中捕获并处理：

import { getAuth, onAuthStateChanged } from "firebase/auth";

const auth = getAuth();
onAuthStateChanged(auth, user => {
  if (user) {
    // 强制刷新token，验证refresh token有效性
    user.getIdToken(true)
      .then(newToken => {
        // 用新token调用API
      })
      .catch(err => {
        // 匹配refresh token相关错误
        if (["auth/user-token-expired", "auth/invalid-refresh-token", "auth/user-not-found"].includes(err.code)) {
          auth.signOut();
          // 跳转到登录页
        }
        console.error("Token刷新失败:", err);
      });
  }
});

3. 检查Firebase控制台的会话配置 #

进入Firebase控制台 → 认证 → 设置 → 会话管理，确认会话过期的配置：

• 确保没有设置过短的refresh token有效期
• 检查“记住用户”的选项是否开启

4. 处理浏览器第三方Cookie限制 #

Safari等浏览器的严格隐私规则会阻止跨域的refresh token存储：

• 确保网站使用HTTPS（Firebase Auth强制要求）
• 用signInWithRedirect替代signInWithPopup，避免跨域Cookie问题
• 配置Firebase Auth自定义域名，让认证请求与网站域名一致

5. 临时方案：手动存储refresh token（谨慎使用） #

不推荐手动管理token（存在XSS风险），但可作为临时 workaround：

// 登录成功后保存refresh token
user.getIdTokenResult().then(() => {
  localStorage.setItem("firebase_refresh_token", user.refreshToken);
});

// 尝试用保存的refresh token重新登录
const savedToken = localStorage.getItem("firebase_refresh_token");
if (savedToken) {
  auth.signInWithRefreshToken(savedToken)
    .then(cred => {
      const newAccessToken = cred.user.getIdToken();
      // 更新API请求的token
    })
    .catch(err => {
      localStorage.removeItem("firebase_refresh_token");
      auth.signOut();
    });
}

内容的提问来源于stack exchange，提问作者Gaurav Sharma