如何彻底移除Firebase中通过Google Auth登录的用户？

• FirebaseAuth.getInstance().signOut()仅会清空应用本地存储的Firebase认证会话状态，不会清除Google Sign-In服务在本地缓存的已授权账号凭据，下次触发登录流程时，Google服务会直接使用缓存的账号完成静默授权，自然不会弹出账号选择界面。
• Firebase后台删除用户的操作不会立即让用户已签发的有效凭证失效：认证token默认有1小时的缓存有效期，在token自然过期前，持有旧token的客户端依然可以通过校验访问对应资源，不是删除操作未生效。

1. 退出登录时同步清除Google账号缓存 #

仅退出Firebase会话不够，必须同步调用Google Sign-In的退出方法清除本地缓存的授权状态，代码如下：

// 先退出Firebase认证会话
FirebaseAuth.getInstance().signOut();

// 初始化Google Sign-In配置（和你登录时用的配置保持一致）
GoogleSignInOptions gso = new GoogleSignInOptions.Builder(GoogleSignInOptions.DEFAULT_SIGN_IN)
        .requestIdToken(getString(R.string.default_web_client_id))
        .requestEmail()
        .build();
GoogleSignInClient googleSignInClient = GoogleSignIn.getClient(this, gso);

// 清除Google Sign-In缓存的账号凭据
googleSignInClient.signOut().addOnCompleteListener(this, task -> {
    // 操作完成后再跳转登录页，后续触发登录时就会弹出账号选择界面
    startActivity(new Intent(this, LoginActivity.class));
    finish();
});

如果需要每次点击登录按钮都强制弹出账号选择界面，不使用任何缓存的账号，可以在发起登录意图前，先执行一次Google Sign-In的signOut操作再拉起登录流程。

2. 解决后台删除用户后权限未立即收回的问题 #

• 客户端在每次启动App、或访问核心敏感资源前，调用FirebaseAuth.getCurrentUser().reload()主动向Firebase服务端拉取最新的用户状态，如果用户已被后台删除，该方法会抛出FirebaseAuthInvalidUserException异常，捕获到异常后直接清除本地所有登录状态，强制跳回登录页即可。
• 对权限敏感度高的场景，不要仅依赖客户端本地的token状态做校验，可在Firebase安全规则中增加用户存在性校验，也可在自有服务端接口层每次都校验token的有效性，拦截已删除用户的请求。
• 后台删除用户后可同步点击用户详情页的「吊销会话」按钮，主动作废该用户的所有刷新token，缩短旧凭证的可使用窗口。

内容的提问来源于stack exchange，提问作者tamir yosef