Android平台下如何持久化Firebase Auth会话实现多账号免密切换登录？

核心逻辑 #

不存储明文邮箱/密码，依赖后端返回的Refresh Token（长效凭证）实现快速切换。Refresh Token用于在有效期内刷新获取新的Access Token（短期会话凭证），既规避明文密码泄露风险，又能实现无感知账号切换。

具体实现步骤 #

1. 后端配合：返回必要凭证

登录接口成功后，除Access Token外，必须返回Refresh Token，同时附带用户标识（如用户ID、昵称、头像），方便后续区分账号：

• Refresh Token需设置合理有效期（如7天/30天），并支持后端主动失效（用户改密码、注销账号时作废旧Token）。

2. 安全存储凭证

绝对禁止明文存储Token，必须加密后保存：

• 使用Android官方的EncryptedSharedPreferences（API 23+支持），自动对键值对加密，避免SharedPreferences被窃取后泄露凭证。
• 存储结构建议用JSON数组保存多账号信息，每个账号条目包含：userId、nickname、refreshToken、isLastLogin（标记上次登录账号，用于启动自动登录）。

示例代码（Kotlin）：

// 初始化加密SharedPreferences
val masterKeyAlias = MasterKeys.getOrCreate(MasterKeys.AES256_GCM_SPEC)
val encryptedPrefs = EncryptedSharedPreferences.create(
    "secure_accounts",
    masterKeyAlias,
    applicationContext,
    EncryptedSharedPreferences.PrefKeyEncryptionScheme.AES256_SIV,
    EncryptedSharedPreferences.PrefValueEncryptionScheme.AES256_GCM
)

// 定义账号数据类
data class AccountInfo(
    val userId: String,
    val nickname: String,
    val refreshToken: String,
    val isLastLogin: Boolean
)

// 存储账号列表
fun saveAccounts(accounts: List<AccountInfo>) {
    val accountsJson = Gson().toJson(accounts)
    encryptedPrefs.edit().putString("account_list", accountsJson).apply()
}

3. 账号切换流程

• 退出当前账号：清理内存中的Access Token，取消当前账号的所有未完成网络请求，若后端要求登出则调用对应接口（可选，用于主动失效当前会话）。
• 选择目标账号：从存储的账号列表中选中要切换的账号，取出其Refresh Token。
• 快速重新认证：调用后端「刷新Token接口」，用Refresh Token换取新的Access Token，成功后更新内存登录状态，完成切换。

示例切换逻辑：

fun switchAccount(targetAccount: AccountInfo) {
    // 清理当前会话
    CurrentSession.clear()
    
    // 调用刷新Token接口
    ApiClient.refreshToken(targetAccount.refreshToken).enqueue(object : Callback<TokenResponse> {
        override fun onResponse(call: Call<TokenResponse>, response: Response<TokenResponse>) {
            if (response.isSuccessful) {
                val newTokens = response.body() ?: return
                // 更新内存会话
                CurrentSession.setAccessToken(newTokens.accessToken)
                CurrentSession.setCurrentAccount(targetAccount)
                
                // 更新存储中的Refresh Token（若后端返回新Token）
                val updatedAccounts = getSavedAccounts().map {
                    if (it.userId == targetAccount.userId) {
                        it.copy(refreshToken = newTokens.refreshToken, isLastLogin = true)
                    } else it.copy(isLastLogin = false)
                }
                saveAccounts(updatedAccounts)
                
                // 跳转到主页面
                startActivity(Intent(context, MainActivity::class.java))
            } else {
                // Refresh Token失效，引导用户重新登录该账号
                navigateToLogin(targetAccount.userId)
            }
        }

        override fun onFailure(call: Call<TokenResponse>, t: Throwable) {
            Toast.makeText(context, "切换失败，请检查网络", Toast.LENGTH_SHORT).show()
        }
    })
}

4. 应用启动自动登录

• 启动时读取加密存储的账号列表，找到标记为isLastLogin的账号。
• 直接调用刷新Token接口，成功则自动登录，失败则引导用户重新登录。

安全注意事项 #

• 严禁明文存储任何凭证，加密是硬性要求。
• 后端需做Token校验：每次请求携带Access Token，Refresh Token仅用于刷新接口，且要校验Token合法性与归属。
• 切换账号时务必清理当前账号的所有敏感数据，避免数据混流。

和Firebase实现的对比 #

Firebase Auth本质也是将加密后的会话凭证存储在SharedPreferences中，启动时自动读取完成认证。自行实现的核心逻辑与其一致：加密存储长效凭证 + 用长效凭证快速获取会话，区别仅在于Firebase封装了细节，而你需要自行对接后端完成凭证的生成与刷新。

内容的提问来源于stack exchange，提问作者lukasniessen