Firebase Admin NodeJS SDK多租户下调用createSessionCookie报不支持操作错误

该报错为Firebase Admin SDK的官方功能限制：当前所有版本的Firebase Admin SDK中，多租户专属的TenantAwareAuth实例未开放createSessionCookie方法的调用权限，属于多租户上下文下明确不支持的操作，与代码逻辑、SDK版本无关。

直接使用全局默认的Auth实例调用createSessionCookie即可，无需使用租户绑定的tenantAuth实例：

• 租户用户签发的ID Token本身已携带tenant_id标识，全局Auth实例可以正常识别并生成对应的会话Cookie
• 生成的会话Cookie后续验证时，无论使用全局Auth实例还是租户Auth实例都可正常解析，解析结果会携带对应租户ID，只需校验租户ID与预期一致即可保障租户隔离，不存在安全风险

修正后代码示例 #

// 其他位置定义: locals.tenantAuth = getAuth().tenantManager().authForTenant(tenantId)
import { getAuth } from 'firebase-admin/auth'

async createSession (locals) {
  try {
    const { idToken, expiresIn, tenantAuth, tenantId } = locals
    const decodedToken = await tenantAuth.verifyIdToken(idToken, true)
    // 仅处理3分钟内完成登录的用户请求
    if (new Date().getTime() / 1000 - decodedToken.auth_time < 3 * 60) {
      // 改用全局Auth实例生成会话Cookie
      const sessionCookie = await getAuth().createSessionCookie(idToken, { expiresIn })
      // 可选：校验会话对应的租户ID匹配，避免跨租户风险
      const sessionDecoded = await getAuth().verifySessionCookie(sessionCookie)
      if (sessionDecoded.tenant_id !== tenantId) {
        throw new Error('租户身份不匹配')
      }
      return sessionCookie
    } else {
      throw new Error('无法创建会话，登录信息已过期')
    }
  } catch (error) {
    console.log(error)
    throw new Error(error)
  }
}

目前TenantAwareAuth仅支持用户管理、ID Token验证等基础租户操作，会话Cookie创建、项目级OAuth配置等操作暂时都只能通过全局Auth实例调用。

内容的提问来源于stack exchange，提问作者Michael Atterbury