基于Firebase实现Android App与Web App的单点登录（SSO）方案问询

嘿，这个需求我之前帮好几个开发者搞定过，刚好Firebase本身就有一套完美的方案，能让你的原生Android App和嵌入式WebView共享登录状态，不用用户重复输入账号密码。下面我给你一步步拆解具体怎么做：

Firebase Authentication的核心是通过ID Token来标识已登录用户。原生App里用户登录后，你可以获取到这个Token，然后传递给WebView里的页面，Web端用这个Token直接完成认证，相当于复用了原生的登录会话，实现无缝跳转。

1. 原生Android端获取用户ID Token #

首先确保用户已经在原生App里完成了Firebase Auth登录（比如邮箱密码、Google登录等）。然后调用Firebase Auth的getIdToken()方法获取当前用户的ID Token：

FirebaseAuth.getInstance().currentUser?.getIdToken(true) // true表示强制刷新Token，避免过期
    ?.addOnCompleteListener { task ->
        if (task.isSuccessful) {
            val idToken = task.result?.token ?: ""
            // 拿到Token后，下一步注入到WebView
            setupWebViewWithToken(idToken)
        } else {
            // 处理Token获取失败的情况，比如提示用户重新登录
            Log.e("AuthIntegration", "Failed to fetch ID Token", task.exception)
        }
    }

2. 将Token注入WebView的JS环境 #

不要用URL参数传递Token（容易被日志记录，不安全），推荐用evaluateJavascript()方法直接把Token注入到WebView的JavaScript全局环境中：

private fun setupWebViewWithToken(idToken: String) {
    val webView = findViewById<WebView>(R.id.your_webview_id)
    val webSettings = webView.settings
    
    // 必须启用JavaScript，否则无法注入和执行Web端认证逻辑
    webSettings.javaScriptEnabled = true
    // 允许WebView访问本地存储，保存Firebase认证状态
    webSettings.domStorageEnabled = true
    
    // 先注入Token，再加载Web页面
    webView.evaluateJavascript("window.firebaseAuthToken = '$idToken';", null)
    
    // 加载你的资料编辑页面
    webView.loadUrl("https://your-website.com/edit-profile")
}

3. Web端用Token完成自动认证 #

你的Web页面需要先初始化Firebase Auth SDK，然后监听全局变量里的Token，用它完成自动登录：

// 假设用Firebase Web SDK v9+模块化语法
import { getAuth, signInWithCredential, IdTokenCredential } from "firebase/auth";

const auth = getAuth();

// 等待原生注入的Token
document.addEventListener('DOMContentLoaded', () => {
    if (window.firebaseAuthToken) {
        // 用ID Token生成认证凭证
        const credential = IdTokenCredential.credential(window.firebaseAuthToken);
        
        signInWithCredential(auth, credential)
            .then(userCredential => {
                // 认证成功！用户现在可以访问需要登录的内容了
                console.log("Web authenticated successfully:", userCredential.user);
                // 这里可以初始化你的资料编辑页面逻辑
            })
            .catch(error => {
                console.error("Web authentication failed:", error);
                // 处理失败情况，比如提示用户重新登录
            });
    }
});

• Token有效期：Firebase ID Token默认有效期是1小时，如果用户在WebView里停留超过1小时，Token会过期。你可以在Web端监听认证状态，当Token过期时，通过WebView的JavascriptInterface通知原生端刷新Token，再重新注入。
• 安全防护：确保你的Web页面是完全可控的，防止XSS攻击窃取Token；不要用URL传递Token，避免日志泄露。
• 配置一致性：原生App和Web端的Firebase配置（项目ID、API Key等）必须完全一致，否则无法共享认证状态。
• WebView权限：记得开启domStorageEnabled，否则Firebase Web SDK无法保存认证状态，用户刷新页面后会重新需要认证。

内容的提问来源于stack exchange，提问作者schneida