如何在Firebase Auth中获取并刷新OAuth第三方提供商访问令牌？

一、初始登录时保存关键令牌 #

首次通过getRedirectResult获取登录凭据时，除了保存第三方提供商的accessToken，务必同时保存其refreshToken（若提供商支持）：

signInWithRedirect(authInstance, provider)

// 后续处理重定向逻辑
const result = await getRedirectResult(authInstance)
if (result) {
  const credential = OAuthProvider.credentialFromResult(result)
  const accessToken = credential?.accessToken
  const refreshToken = credential?.refreshToken // 重点保存该刷新令牌
  // 将两个令牌存入安全存储（推荐HttpOnly、Secure属性的Cookie，或前端加密存储）
}

二、主动刷新第三方提供商令牌 #

当accessToken过期后，直接调用第三方提供商的令牌刷新接口，用保存的refreshToken换取新令牌（以Microsoft为例）：

async function refreshMicrosoftToken(refreshToken) {
  const response = await fetch('https://login.microsoftonline.com/common/oauth2/v2.0/token', {
    method: 'POST',
    headers: {
      'Content-Type': 'application/x-www-form-urlencoded'
    },
    body: new URLSearchParams({
      client_id: '你的Microsoft应用ID',
      grant_type: 'refresh_token',
      refresh_token: refreshToken,
      scope: '你申请的权限范围'
    })
  })
  const data = await response.json()
  return {
    newAccessToken: data.access_token,
    newRefreshToken: data.refresh_token // 部分提供商返回新的refreshToken，需更新存储
  }
}

三、无刷新令牌时的替代方案 #

如果未保存refreshToken，可通过Firebase的reauthenticateWithPopup方法，在不跳转页面的情况下重新获取提供商凭据（已登录用户通常会自动通过授权弹窗）：

async function getFreshProviderToken() {
  const provider = new OAuthProvider('microsoft.com')
  provider.addScope('user.read') // 指定所需权限范围
  
  try {
    const result = await authInstance.currentUser.reauthenticateWithPopup(provider)
    const credential = OAuthProvider.credentialFromResult(result)
    return credential?.accessToken
  } catch (error) {
    console.error('令牌刷新失败：', error)
  }
}

四、核心注意事项 #

• 第三方提供商的refreshToken有效期通常较长（如Microsoft默认90天），部分提供商在刷新时会返回新的refreshToken，需及时更新存储。
• 存储refreshToken必须保证安全性：前端优先用HttpOnly、Secure的Cookie规避XSS风险；后端存储需加密处理。
• Firebase Auth仅负责自身ID Token和会话的自动刷新，第三方提供商令牌的生命周期需自行管理，Firebase不会主动维护。

内容的提问来源于stack exchange，提问作者David Beaudway