Firebase beforeCreate无法添加自定义声明问题求助

我正在使用Firebase Authentication与Identity Platform，尝试通过beforeCreate阻塞函数为新创建的用户添加自定义声明，但始终无法成功。

代码与现象 #

我编写的测试代码如下：

exports.beforeUserCreate = functions.auth.user().beforeCreate((user, context) => {
  functions.logger.info('Attempting to set claims for new user', user);
  functions.logger.info('Here is the context', context);
  return {
    customClaims: {
      roles: ['user'],
    },
    sessionClaims: {
      roles: ['user'],
    },
  };
});

• Google控制台能正常输出日志，说明函数已被触发执行
• 尝试过将声明改为非数组形式roles: 'TestRole'，也单独设置customClaims或sessionClaims，均无效果
• 但在同一个返回对象中设置displayName可以成功，用户的displayName能正确更新

对比验证 #

• 手动设置自定义声明正常：通过API手动设置的自定义声明，能正常出现在用户的ID Token中：

  {
      "roles": [
          "admin",
          "subscriber",
          "superadmin"
      ],
      "iss": "https://securetoken.google.com/...",
      "aud": "xxx",
      "auth_time": 1661813313,
      "user_id": "xxxx",
      "sub": "xxx",
      "iat": 1661813313,
      "exp": 1661816913,
      "email": "xxx",
      "email_verified": false,
      "firebase": {
          "identities": {
              "email": [
                  "xx"
              ]
          },
          "sign_in_provider": "password"
      }
  }
  

• beforeCreate创建的用户无声明：通过beforeCreate函数创建的用户，其ID Token中完全没有自定义声明：

  {
      "iss": "https://securetoken.google.com/...",
      "aud": "xxx",
      "auth_time": 1661813351,
      "user_id": "xxx",
      "sub": "xxx",
      "iat": 1661813351,
      "exp": 1661816951,
      "email": "xxx",
      "email_verified": false,
      "firebase": {
          "identities": {
              "email": [
                  "xxx"
              ]
          },
          "sign_in_provider": "password"
      }
  }
  

排查与解决建议 #

1. 升级firebase-functions版本
   beforeCreate中设置自定义声明是较新的特性，需要确保firebase-functions版本至少为v3.14.0，执行升级命令：

   npm install firebase-functions@latest
   

2. 刷新用户ID Token
   用户首次创建时返回的初始ID Token可能不会包含beforeCreate设置的声明，需要让用户重新登录或主动刷新Token后再查看。其中sessionClaims仅对当前会话有效，customClaims需要Token刷新后才会生效。

3. 检查Identity Platform配置
   若使用的是Google Cloud Identity Platform，需在控制台的Auth -> 触发器 -> 阻塞函数设置中，确认已启用自定义声明的支持，部分默认配置可能会限制该功能。

4. 显式返回Promise
   尝试显式返回Promise确保函数执行逻辑正确，避免潜在的同步/异步问题：

   exports.beforeUserCreate = functions.auth.user().beforeCreate(async (user, context) => {
     functions.logger.info('Attempting to set claims for new user', user);
     return Promise.resolve({
       customClaims: { roles: ['user'] }
     });
   });
   

5. 检查函数错误日志
   在Cloud Functions控制台切换到Error级别日志，查看是否有未捕获的异常或权限错误。若使用自定义服务账号部署函数，需确认该账号拥有修改用户自定义声明的权限。

内容的提问来源于stack exchange，提问作者Gremash