App Check Admin SDK为何拒绝Flutter Android调试令牌？

以下是针对你的问题的关键排查方向，结合代码逐一分析：

1. 确认调试令牌的正确性与有效性 #

• 检查Firebase控制台中添加的调试令牌是否和Flutter调试日志输出的完全一致，注意不要包含多余空格或复制错误
• 调试令牌默认有效期为7天，若令牌过期，需重新获取并更新到Firebase控制台

2. 验证Flutter端请求是否正确携带令牌 #

你的Flutter代码已设置AndroidProvider.debug，但需要确认：

• 查看Flutter运行日志，是否输出类似D/FirebaseAppCheck: Debug App Check token: xxxxxx的内容，证明调试令牌已生成
• 用Android Studio Network Inspector等工具抓包，检查请求Cloud Run API时，HTTP头中是否存在X-Firebase-AppCheck字段，且值为调试令牌

3. 检查Node后端的App Check初始化与验证逻辑 #

• 确保Firebase Admin SDK已正确初始化，本地调试时需配置服务账号密钥：

  const admin = require('firebase-admin');
  // 本地调试需设置GOOGLE_APPLICATION_CREDENTIALS环境变量，指向服务账号密钥文件
  admin.initializeApp({
    credential: admin.credential.applicationDefault(),
  });
  

• 在verifyToken调用中显式指定项目ID，避免多项目环境下的匹配错误：

  const appCheckClaims = await firebaseAdmin.appCheck().verifyToken(appCheckToken, {
    projectId: '你的Firebase项目ID'
  });
  

• 在catch块中添加详细错误日志，定位具体失败原因：

  catch (err) {
      console.error('App Check验证失败详情:', err); // 打印具体错误信息
      res.status(401);
      return next('Unauthorized');
  }
  

  常见错误包括令牌无效、项目ID不匹配、服务账号权限不足等，日志会直接暴露问题点

4. Cloud Run服务的权限配置 #

• 若API部署在Cloud Run上，确保运行服务的服务账号拥有firebase.appCheckVerifier角色
• 本地调试Cloud Run服务时，必须正确设置GOOGLE_APPLICATION_CREDENTIALS环境变量，指向你的Firebase服务账号密钥文件

内容的提问来源于stack exchange，提问作者Jacob Miller