Google验证令牌与Firebase访问令牌被盗后能否登录及安全等级咨询

令牌被窃取后的登录风险 #

• Google验证令牌：如果他人获取到你的Google验证令牌，在令牌过期前（通常为1小时），完全可以伪造成你的身份登录你的网站——只要你的网站仅通过验证令牌的签名、有效期、受众匹配性来确认用户身份，且没有额外的设备绑定、会话校验等安全措施。
• Firebase访问令牌：同理，Firebase访问令牌（如ID Token）在过期前被窃取的话，攻击者可直接用它通过你的网站身份验证流程登录，还能访问你的Firebase关联资源（如Firestore、Storage），因为Firebase SDK会通过校验令牌签名、有效期和项目匹配性来确认用户身份。

两种令牌的安全等级 #

• Google验证令牌：属于OAuth 2.0体系下的ID Token，由Google采用非对称加密签名颁发，安全等级较高。令牌包含用户身份信息、颁发者、目标应用ID等关键字段，验证时需校验签名合法性、受众匹配度及有效期。但它本质是短期身份凭证，一旦泄露就存在直接被冒用的风险。
• Firebase访问令牌：Firebase的ID Token基于JWT标准，由Firebase Auth服务签名生成，安全等级与Google验证令牌持平。令牌的受众绑定你的Firebase项目ID，验证逻辑同样包含签名、有效期、受众校验。另外Firebase会配套生成刷新令牌用于获取新的访问令牌，刷新令牌有效期更长，但默认会通过HTTP-only cookie等方式绑定用户设备的安全上下文，泄露风险相对更低。

内容的提问来源于stack exchange，提问作者user3226718