关于仅使用Firebase Auth ID Token的身份验证流程正确性及相关疑问

一、你的自定义流程存在关键问题，不可行 #

你当前设计的Token存储与校验逻辑完全错误，核心问题如下：

• Firebase ID Token是短期凭证：默认有效期仅1小时，调用getIdToken()时SDK会自动刷新获取新Token，你把它存数据库当access_token，每次进APP更新数据库完全没必要，而且后续操作时新旧Token不匹配会直接导致校验失败。
• 校验逻辑方向错误：不需要把Token存在数据库做比对，正确的做法是：
  1. 用户每次请求（尤其是写操作）时，将当前getIdToken()获取的Token放在请求头里传给服务器；
  2. 服务器端调用Firebase Auth的verifyIdToken方法，验证Token的合法性（是否未过期、是否由你的Firebase项目签发）；
  3. 验证通过后，解析Token里的uid字段，用这个UID去关联用户的操作（比如判断帖子的所属UID和当前用户UID是否一致），以此实现权限控制。

二、不单独使用Refresh Token确实影响不大 #

Firebase Auth的客户端SDK已经内置了Refresh Token的管理逻辑：

• 当ID Token过期时，getIdToken()会自动调用Refresh Token去获取新的ID Token，完全不需要你手动存储或调用Refresh Token；
• 只要用户保持登录状态（SDK本地的登录会话有效），就能自动完成Token刷新，所以你不用单独处理Refresh Token是没问题的。

内容的提问来源于stack exchange，提问作者dontknowhy