手动验证Firebase JWT：证书有效期及适用证书选择问题

1. 无密钥ID（kid）的自定义JWT验证逻辑 #

如果你生成的自定义JWT头部没有携带kid字段，确实需要遍历服务账号对应公钥证书列表里的所有证书逐一尝试验签。
建议生成自定义JWT时主动在头部加入kid字段，取值对应签名时使用的服务账号私钥的密钥ID，这样验签时可以直接匹配到对应公钥，无需遍历即可完成校验，既提升验签效率，也能避免个别证书临时失效导致的验签失败问题。

2. 公钥证书的更新频率 #

• 服务账号公钥证书（用于自定义JWT验签）：默认更新周期为最长24小时，仅少数安全应急场景下谷歌会提前推送更新，本地缓存可设置12~24小时的有效期，同时做好缓存失效后主动拉取最新证书的降级逻辑。
• ID令牌对应的谷歌OAuth 2.0公钥证书：更新周期同样为最长24小时，缓存策略和上述规则一致即可，无需设置过短的缓存周期，频繁拉取证书接口反而可能触发限流。

注意：两类证书的缓存时长都不要写死固定值，优先读取证书接口响应头里的Cache-Control字段取值确定实际缓存时长，该字段返回的数值是谷歌官方实时指定的有效时长，比固定配置的数值更准确。

内容的提问来源于stack exchange，提问作者David Min