Firebase中如何验证用户Token有效性 是否需存储getIdToken

已存储refreshToken的有效性校验方法 #

不要自己手写请求拿refreshToken调Firebase接口校验，直接用SDK提供的能力即可，两种常用场景对应不同写法：

• 应用初始化/全局登录态校验：直接用onAuthStateChanged监听
  SDK初始化时会自动读取持有的refreshToken和Firebase服务端校验会话有效性，校验通过会返回完整的用户对象，token失效、被吊销、过期的话会直接返回null，你直接在回调里同步Redux的登录态即可。

  import { getAuth, onAuthStateChanged } from "firebase/auth";
  const auth = getAuth();
  onAuthStateChanged(auth, (user) => {
    if (user) {
      // refreshToken有效，同步用户信息到Redux，放行受保护路由
    } else {
      // refreshToken无效，清空Redux登录状态，跳转登录页
    }
  });
  

• 敏感操作前的二次校验：调用getIdToken(true)强制刷新
  比如做支付、修改密码这类操作前要确认登录态还有效，直接给当前用户对象的getIdToken方法传参true，这个参数会强制SDK跳过本地缓存，拿refreshToken向服务端申请新的ID Token，申请失败就说明refreshToken已经失效。

  try {
    const idToken = await getAuth().currentUser.getIdToken(true);
    // 校验通过，idToken是最新的有效凭证，可以传给后端做接口鉴权
  } catch (err) {
    // 捕获到token相关错误（比如user-token-expired、invalid-user-token）就判定登录态失效，清状态跳登录
  }
  

是否需要手动存储getIdToken返回的ID Token #

完全不需要手动存储，不管是Redux还是localStorage都没必要，原因很直接：

• ID Token本身有效期只有1小时，手动存储后很快就会过期，自己维护刷新逻辑很容易写出边界bug，比如多标签页token不同步、刷新时机不对导致接口鉴权失败
• Firebase Auth SDK已经内置了ID Token的自动存储、自动刷新逻辑，你业务里需要用ID Token的时候（比如给自建后端传鉴权头），随时调一次getIdToken()就能拿到最新的有效token，SDK会自动判断要不要用refreshToken换新，不需要你自己处理过期逻辑
• 手动把ID Token、refreshToken存在Redux或者本地存储里，会放大XSS攻击下的凭证泄露风险，SDK内置的持久化存储做了对应的安全加固，比自己存靠谱

额外提醒：不建议脱离SDK单独把refreshToken存在Redux里管理，Redux是内存级存储，页面刷新就会丢失，很容易出现登录态异常。你可以直接通过setPersistence方法配置Firebase Auth的持久化等级（浏览器本地持久化、会话级持久化、内存持久化），SDK会自动帮你安全管理所有凭证，省掉很多自己维护的坑。

内容的提问来源于stack exchange，提问作者Krilpil