如何区分Firebase Auth验证Token时Promise的成功与失败值？

你的代码逻辑是完全正确的，不需要额外做判断，原因如下：

• 当adminAuth.verifyIdToken(idToken)的Promise兑现时，await会拿到解码后的声明并赋值给decoded，根据Firebase官方定义，有效ID Token的解码结果必然包含uid字段，所以const uid = decoded.uid不会触发错误，后续代码正常执行。
• 当Promise拒绝时，await会直接抛出拒绝的错误值，代码会立刻跳转到catch块执行，根本不会执行到const decoded = ...之后的代码——也就是说，decoded变量在Promise拒绝的场景下根本不会被赋值，自然不存在“decoded没有uid字段触发错误”的情况。

简单总结：

• try块里的所有代码，只有在Token验证成功（Promise兑现）时才会运行，这里的decoded一定是有效的、包含uid的声明对象。
• catch块专门处理Token验证失败（Promise拒绝）的所有情况，比如Token过期、篡改、格式错误等，这里的err就是Firebase返回的错误信息。

如果想更严谨，也可以在try块里加个简单校验（虽然官方保证有效Token必有uid，但能防极端异常）：

try {
  const decoded = await adminAuth.verifyIdToken(idToken);
  if (!decoded.uid) {
    throw new Error("Decoded token missing uid");
  }
  const uid = decoded.uid;
  /*...*/
  return next();
} catch (err) {
  return res.status(401).json({ err: "Invalid authentication token" });
}

另外注意，Token验证失败属于身份认证错误，返回401状态码比500更合适，500一般用于标识服务器内部错误。

内容的提问来源于stack exchange，提问作者Ewerton Xavier