如何通过Firebase REST API删除用户账号并解决CREDENTIAL_TOO_OLD报错

原因说明 #

这是Firebase Auth的正常安全设计，不属于BUG。针对删除账号、修改账号密码这类高敏感操作，Firebase要求用户的最近登录时间必须在5分钟以内，该限制和你持有的idToken是否有效无关——哪怕你通过refreshToken刷新得到了有效的idToken，只要距离用户首次输入密码登录的时间超过阈值，就会触发CREDENTIAL_TOO_OLD_LOGIN_AGAIN错误。而普通的数据库读写操作没有这个时效限制，所以会出现可以正常读写数据但无法删除账号的情况。

无需用户手动退出重登的解决方法 #

你可以通过静默重鉴权的方式解决该问题：

1. 如果你在本地加密存储了用户的登录密码，可以直接调用登录接口，用本地存储的邮箱和密码静默完成重新登录，拿到新的idToken、refreshToken替换本地原有凭证后，再发起删除账号请求即可，全程用户无感知。
2. 如果你没有存储用户的明文密码，只需要在用户点击删除账号按钮时弹出一个密码输入弹窗，用户输入当前账号密码后完成重鉴权，再执行删除操作即可，该流程属于行业通用的高风险操作校验逻辑，用户接受度很高。

// 重鉴权逻辑可以直接复用你已有的登录方法，示例如下
Future<void> deleteAccountWithReauth(String email, String password) async {
  // 重鉴权拿到最新凭证
  final userCredential = await signInWithEmailAndPassword(email, password);
  // 调用删除账号接口，传入新的idToken
  final response = await post(
    "https://identitytoolkit.googleapis.com/v1/accounts:delete?key=YOUR_API_KEY",
    body: jsonEncode({"idToken": userCredential.idToken}),
  );
  // 处理删除结果
}

额外说明 #

官方文档未列出CREDENTIAL_TOO_OLD_LOGIN_AGAIN错误码属于文档更新遗漏，你可以在删除账号的错误捕获逻辑中单独匹配该错误码，自动触发重鉴权流程即可。

内容的提问来源于stack exchange，提问作者Marcello Câmara