Firebase自定义令牌验证失败排查（Node.js 10，本地/云函数环境）

先直接点破你代码里的核心问题：你用错了验证方法！ admin.auth().verifyIdToken()是用来验证客户端登录后拿到的ID令牌的，而不是验证你刚生成的自定义令牌的——这俩根本不是一个东西，直接用它验证自定义令牌肯定会报错。

为什么会这样？ #

自定义令牌是给客户端用的：客户端拿到这个令牌后，要调用Firebase Client SDK的signInWithCustomToken()完成登录，登录成功后客户端会得到一个ID令牌，这时候你才能用verifyIdToken()去验证这个ID令牌。你现在刚生成自定义令牌就直接拿去验证，相当于拿一把房门钥匙去开汽车锁，当然打不开。

针对你的场景的解决办法 #

1. 本地测试时，验证自定义令牌的有效性

如果你只是想确认自己生成的自定义令牌内容对不对，不需要用verifyIdToken()，可以直接用JWT解码工具来查看。比如用jsonwebtoken包：

var firebase = require('firebase');
const functions = require('firebase-functions');
var admin = require('firebase-admin');
const jwt = require('jsonwebtoken'); // 先安装这个包：npm install jsonwebtoken
var serviceAccount = require('./your-service-account.json');
const uid = 'your-valid-uid';

admin.initializeApp({
 credential: admin.credential.cert(serviceAccount),
 databaseURL: 'your-db-url',
});

const additionalClaims = { premiumAccount: true, };

admin
 .auth()
 .createCustomToken(uid, additionalClaims)
 .then((token) => {
 console.log(`生成的自定义令牌: ${token}`);
 // 用JWT解码自定义令牌查看内容
 jwt.verify(token, serviceAccount.privateKey, { algorithms: ['RS256'] }, (err, decoded) => {
   if (err) {
     console.log('解码失败:', err);
   } else {
     console.log('自定义令牌内容:', decoded);
   }
 });
 })
 .catch((err) => {
 console.log(`生成令牌出错 : ${err}`);
 });

如果要测试实时数据库读写，你需要模拟客户端登录流程：用Firebase Client SDK调用signInWithCustomToken()登录，然后用登录后的用户实例去操作数据库。

2. 在Google Cloud Functions中的正确用法

在Cloud Functions里，你生成自定义令牌后，通常是把它返回给前端客户端，让客户端自己去登录。如果你的Function需要验证用户身份，应该让客户端传递登录后的ID令牌过来，这时候再用verifyIdToken()验证才是正确的。

其他可能的坑 #

• 确保你的serviceAccount.json是从Firebase控制台正确下载的管理员密钥，不是其他类型的密钥。
• uid要符合Firebase的规则：不能包含:、.等特殊字符，长度建议在1-128字符之间。
• 虽然你用的Node.js10还能运行，但它已经是终止支持的版本了，建议升级到Node.js16或更高版本，避免潜在的兼容性问题。

内容的提问来源于stack exchange，提问作者Dadmand