Firebase REST请求idToken解码结果与安全规则auth.uid不一致问题

常见的 auth.uid 与实际用户uid不匹配的原因 #

• 路径请求不匹配：如果你发起请求的路径不是/[目标用户uid]层级，而是直接请求根路径或其他父级路径，安全规则不会触发$uid节点下的校验逻辑，直接返回权限不足，容易被误认为是uid匹配失败。请确认请求路径对应到具体的用户uid节点，例如读写uid为a1b2c3的节点时，请求地址需对应/a1b2c3.json后缀。
• ID Token取值来源不符：自行解码ID Token时，请确认你提取的是JWT payload中的sub字段，Firebase安全规则中的auth.uid固定取该字段的值，若你误取了user_id等其他字段会出现匹配不一致的问题。
• 令牌类型错误：如果你携带的是服务账号生成的自定义令牌，而非普通用户登录后获取的标准ID Token，auth.uid的取值为你生成自定义令牌时传入的uid参数，和标准ID Token的取值逻辑有区别。

Firebase ID Token解码逻辑说明 #

Firebase对ID Token的解码逻辑和常规JWT解码无本质差异，但会先完成多维度合法性校验，校验全部通过后才会将payload内容映射到auth对象：校验项包括签名合法、令牌未过期、iss字段匹配当前Firebase项目、aud字段匹配当前项目ID。校验通过后auth.uid固定取payload中的sub字段，其余自定义声明会挂载到auth.token对象下。 #

查看安全规则实际接收的auth对象的方法 #

你可以通过两种方式获取auth对象的实际取值：

1. 使用Firebase控制台规则游乐场：进入Realtime Database的规则配置页，打开右上角的规则游乐场功能，可手动设置模拟的认证用户uid、自定义声明等参数，模拟指定路径的读写请求，实时查看规则执行结果和auth对象的所有字段值。
2. 用debug()函数打印运行日志：在安全规则中需要查看取值的位置用debug()包裹，例如将规则写为.read: "debug(auth.uid) === debug($uid)"，发起请求后可在Firebase控制台的监控日志板块查看到对应字段的实际取值。

内容的提问来源于stack exchange，提问作者Roman Kolar