使用Firebase Auth能否实现两个用户同时保持登录状态？

你需要的这个功能完全可以实现，Instagram、Gmail等产品的多账号切换逻辑都是基于相同的底层方案实现的，没有不可突破的技术障碍，只需要注意以下实现规则和限制即可。

核心实现逻辑 #

• 服务端登录接口在校验账号密码成功后，给客户端返回对应账号的访问令牌access_token、刷新令牌refresh_token，以及账号唯一标识、用户昵称头像等基础信息。
• 客户端本地加密存储多组「账号信息+令牌」组合，而不是仅保留当前登录账号的单组数据。
• 账号切换时，客户端直接将全局请求携带的令牌替换为目标账号的令牌，同时清空当前账号的本地缓存数据，加载目标账号的对应数据，全程不需要调用密码校验接口。

相关限制与注意事项 #

• 会话数量限制：为了避免服务端会话存储资源浪费、客户端存储负载过高，建议限制单台设备最多同时登录3-5个账号，超出数量时引导用户手动删除不常用的已登录账号。
• 安全合规限制：
  • 禁止本地明文存储用户密码，所有持久化存储的敏感凭证必须做对称加密处理，加密密钥不要硬编码在客户端代码中。
  • 服务端需要给令牌设置合理的有效期，access_token有效期建议设置为1-2小时，refresh_token有效期建议设置为30-90天，到期后需要用户重新输入密码登录，避免长期闲置的凭证被盗用。
  • 若产品面向有隐私合规要求的地区，需要在用户登录时明确告知多账号登录的凭证存储规则，符合当地数据保护法规要求。
• 数据隔离限制：切换账号时必须完全隔离不同账号的本地缓存、草稿、操作记录等数据，避免出现账号数据串用的逻辑漏洞。
• 异常场景限制：服务端需要支持单个账号的全设备会话注销、单个设备的全账号会话注销能力，用户修改密码、主动注销账号后，对应的所有令牌需要立即失效，即使用户存储了凭证也无法继续登录。

内容的提问来源于stack exchange，提问作者Vitor Ferreira