Flutter中Firebase认证令牌强制更新及邮件验证权限问题解决

问题原因 #

用户完成邮箱验证后，Firebase Auth的本地用户信息与ID令牌不会自动同步更新，导致Firestore请求携带的旧令牌中email_verified字段仍为false，触发Firebase Rules的权限拒绝。必须手动刷新令牌，才能获取包含最新验证状态的凭证。

解决方案步骤 #

• 调用user.reload()刷新本地用户对象的信息，确保user.emailVerified属性更新为真实状态。
• 调用user.getIdToken(true)强制从服务器获取新的ID令牌，该令牌会包含更新后的email_verified字段。
• 刷新完成后，后续的Firestore请求会自动使用新令牌，即可通过规则检查。

完整代码示例 #

import 'package:firebase_auth/firebase_auth.dart';
import 'package:cloud_firestore/cloud_firestore.dart';

// 在用户完成邮箱验证后执行此方法（比如从验证链接跳转回APP时）
Future<void> updateAuthTokenAfterVerification() async {
  final currentUser = FirebaseAuth.instance.currentUser;
  if (currentUser == null) return;

  try {
    // 刷新本地用户信息，更新emailVerified状态
    await currentUser.reload();
    // 强制刷新ID令牌，确保令牌包含最新的验证状态
    await currentUser.getIdToken(true);
    
    // 重新尝试读取Firestore数据
    await loadPostsData();
  } catch (e) {
    print('刷新令牌失败: $e');
  }
}

// 读取Firestore posts_data集合的示例方法
Future<void> loadPostsData() async {
  try {
    final querySnapshot = await FirebaseFirestore.instance.collection('posts_data').get();
    print('成功读取 ${querySnapshot.size} 条数据');
    // 处理返回的数据
    for (var doc in querySnapshot.docs) {
      print(doc.data());
    }
  } catch (e) {
    print('读取数据失败: $e');
  }
}

补充说明 #

• getIdToken(true)中的forceRefresh参数设为true是关键，它会跳过本地缓存，直接从Firebase Auth服务器获取最新令牌。
• 如果你的APP通过Deep Link处理邮箱验证链接，需要在Deep Link的回调逻辑中调用updateAuthTokenAfterVerification方法。
• 执行完刷新操作后，无需重新登录用户，后续的所有Firebase服务请求都会自动使用新的有效令牌。

内容的提问来源于stack exchange，提问作者David A.