Firebase修改邮箱/密码后其他设备未登出，如何获取通知？

问题描述 #

我的应用支持用户修改密码或更新邮箱地址功能。根据Firebase官方文档，预期当用户在另一设备修改密码时，应吊销刷新令牌并使其他设备上的用户登出，但实际未实现该效果。我使用addStateDidChangeListener和addIDTokenDidChangeListener两个监听器检测状态变化，它们在通过Firebase登录/登出功能操作时可正常触发，但在另一设备修改密码时不会被调用。请问有什么方法能在用户在其他设备修改密码时收到通知？

解决方法 #

• 主动校验令牌有效性
  这两个监听器仅在本地操作（如本地登出、令牌自动刷新）时触发，跨设备操作不会主动推送通知。建议在关键节点（比如进入敏感页面、发起核心请求前）主动调用currentUser?.reload()或currentUser?.getIDTokenResult(forceRefresh: true)强制刷新令牌。如果令牌已被吊销，Firebase会返回错误，此时即可触发登出逻辑。

• 借助后端监听用户变更事件
  若你有后端服务，可通过Firebase Admin SDK监听onUserUpdated事件。当用户密码被修改时，后端通过FCM（Firebase Cloud Messaging）向该用户的其他设备推送自定义通知，客户端收到通知后直接执行登出操作。

• 定期静默校验令牌
  设置后台定时器（比如每5-15分钟执行一次），悄悄调用令牌刷新接口。一旦检测到令牌无效，立即清理本地会话并跳转至登录页。注意控制校验频率，避免影响应用性能和用户体验。

• 检查密码修改的实现逻辑
  确认修改密码的代码是否正确触发了令牌吊销：

  • 若使用客户端SDK的updatePassword方法，Firebase会自动吊销该用户除当前设备外的所有刷新令牌；
  • 若使用Admin SDK的updateUser方法，需确保设置了password字段，且未手动保留旧令牌；如果是自定义后端修改密码，必须调用Admin SDK的revokeRefreshTokens(uid)方法主动吊销所有令牌。

内容的提问来源于stack exchange，提问作者Marcel