使用Firebase Admin SDK验证Android客户端ID Token时遇签名无效异常

我之前也碰到过一模一样的问题，给你梳理几个大概率能解决的排查方向：

1. 先确认客户端的ID Token获取流程是否正确 #

Android端必须通过Firebase Auth官方方法获取有效ID Token，别用自定义token或者其他凭证凑数。正确的代码示例应该是这样的：

FirebaseUser currentUser = FirebaseAuth.getInstance().getCurrentUser();
if (currentUser != null) {
    // 强制刷新token（用户登录/权限变更后必须传true）
    currentUser.getIdToken(true)
        .addOnCompleteListener(task -> {
            if (task.isSuccessful()) {
                String validIdToken = task.getResult().getToken();
                // 把这个token传给服务器验证
            } else {
                // 处理token获取失败的情况
            }
        });
}

注意：如果用getIdToken(false)获取缓存token，可能拿到过期或失效的凭证，尤其是用户刚完成登录、注销重登或者权限变更后，一定要强制刷新。

2. 检查服务器端Admin SDK的初始化配置 #

必须用对应Firebase项目的服务账号密钥初始化SDK，绝对不能混用其他项目的密钥，也不能手动修改密钥文件内容。初始化代码参考：

try {
    FileInputStream serviceAccount = new FileInputStream("/path/to/your-service-account-key.json");
    FirebaseOptions options = new FirebaseOptions.Builder()
        .setCredentials(GoogleCredentials.fromStream(serviceAccount))
        .setProjectId("your-firebase-project-id")
        .build();
    // 确保只初始化一次
    if (FirebaseApp.getApps().isEmpty()) {
        FirebaseApp.initializeApp(options);
    }
} catch (IOException e) {
    e.printStackTrace();
}

密钥文件要从Firebase控制台→项目设置→服务账号页面下载，确保文件名和路径都配置正确。

3. 排查服务器系统时间是否同步 #

这个是最容易被忽略的坑！Firebase ID Token的签名验证依赖时间戳，如果服务器系统时间和真实UTC时间偏差超过几分钟，就会触发签名无效的异常。你可以手动同步服务器时间，或者配置NTP服务自动校准时间。

4. 检查网络环境是否拦截公钥请求 #

Admin SDK验证token时，会自动从Google服务器获取最新的签名公钥。如果服务器在有代理、防火墙或者内网环境下，可能被拦截了这个请求。可以先在服务器上测试能否访问Google的公钥接口，确保网络畅通。

5. 用Firebase官方工具快速定位问题 #

把客户端拿到的ID Token复制到Firebase控制台的「验证ID Token」工具里（路径：Auth→使用情况→验证ID Token）：

• 如果工具提示token无效，那问题肯定出在客户端的token获取流程；
• 如果工具验证通过，那问题就集中在服务器端的SDK配置、时间同步或者网络环境上。

按照上面的步骤逐一排查，应该能解决这个签名无效的问题。我当时就是服务器时间没同步，调整后就正常了。

内容的提问来源于stack exchange，提问作者Mayank