Ruby on Rails用firebase_id_token验证Firebase ID token报JWT签名错误

核心排查方向 #

• 清空Redis缓存的Google公钥
  你当前配置仅在项目启动时请求一次公钥，若启动时请求失败、公钥后续更新、Redis残留历史错误公钥都会导致签名校验失败。先执行redis-cli del firebase_certificates清空缓存的公钥，再重启服务重新拉取公钥测试。
• 核实project_ids配置值
  *不要填写Firebase项目的自定义显示名，必须使用控制台「项目设置」页面标注的实际项目ID，二者通常不一致。
• 校验后端接收到的token是否完整未篡改
  在验证逻辑前加日志打印收到的原始token，和前端生成的token做完全匹配：

  def verify_token
    raw_token = request.headers["Authorization"]&.split("Bearer ")&.last
    Rails.logger.info "收到的原始token: #{raw_token}"
    # 后续验证逻辑
  end
  

  重点排查是否存在多余引号、空格、URL编码未解码、中间件截断等问题。
• 确认前端传递的是正确的ID Token
  前端google_sign_in库会返回idToken和accessToken两类凭证，只有idToken可用于后端Firebase校验，传递accessToken会直接触发签名错误。
• 检查gem版本兼容性
  旧版本firebase_id_token依赖的JWT库存在签名校验逻辑缺陷，先升级到最新稳定版：

  # Gemfile
  gem "firebase_id_token", "~> 3.0"
  gem "jwt", "~> 2.7"
  

  执行bundle update firebase_id_token jwt完成升级。
• 同步服务器时间
  若服务器时区错误、时间未同步NTP，会导致JWT过期/生效时间校验不通过，即使你认为token未过期也会触发错误。

修正后的推荐配置 #

FirebaseIdToken.configure do |config|
  # 替换为实际Firebase项目ID
  config.project_ids = ["your-real-firebase-project-id"]
  config.redis = Redis.new(host: "localhost", port: 6379)
end

# 启动时先清空旧证书再拉取最新证书，避免缓存问题
Redis.new(host: "localhost", port: 6379).del("firebase_certificates")
FirebaseIdToken::Certificates.request! # 加! 若请求失败直接抛出异常，避免静默失败

最简验证测试 #

可在rails console中直接执行验证逻辑，排查是否是业务代码问题：

token = "你前端拿到的有效ID Token"
payload = FirebaseIdToken::Signature.verify(token)
puts payload.inspect

如果上述步骤执行后仍报错，可打印gem校验时使用的公钥确认是否正确：

kid = JWT.decode(token, nil, false).last["kid"]
puts FirebaseIdToken::Certificates.find(kid)

内容的提问来源于stack exchange，提问作者smartsri