Firebase Admin SDK能否获取用户认证令牌及后端API调用疑问

1. Firebase Admin SDK是否能够检索用户认证令牌？ #

简单说：Admin SDK无法直接主动获取用户的活跃认证令牌（比如ID令牌、Facebook OAuth访问令牌）。

原因在于，用户的ID令牌是短期的客户端持有凭证，Firebase Auth服务器不会存储用户的当前活跃ID令牌——它只会留存用户的认证元数据（比如UID、关联的提供商信息、自定义声明等）。同样，Facebook这类第三方OAuth提供商的访问令牌，是客户端在登录流程中获取的短期凭证，Firebase Auth不会持久存储这类令牌（仅可能存储刷新令牌，但也不会暴露给Admin SDK直接调用获取）。

不过你可以通过以下方式实现类似需求：

• 验证ID令牌有效性：让客户端将ID令牌发送到后端，后端调用admin.auth().verifyIdToken(idToken)方法，即可验证令牌合法性并获取用户UID等核心信息。
• 获取用户提供商关联信息：调用admin.auth().getUser(uid)，返回的用户对象中providerData字段会包含用户关联的Facebook等提供商的基础信息（比如提供商ID、用户在该平台的UID），但通常不会包含当前有效的访问令牌。

2. 为何后端无法调用admin.auth.facebookauthprovider.cred相关方法？ #

这是因为**FacebookAuthProvider.credential()是客户端SDK专属方法，Admin SDK的定位和功能设计决定了它不需要这类能力**。

客户端SDK里的这个方法，作用是把Facebook登录返回的授权凭证（比如授权码、访问令牌）转换成Firebase Auth可识别的凭证，从而完成用户登录Firebase的流程。而Admin SDK的核心是管理Firebase Auth系统（比如创建用户、修改用户信息、验证令牌、配置自定义声明等），它不需要处理客户端的OAuth登录凭证转换——毕竟后端不会发起用户的OAuth登录流程，这是客户端的职责。

如果需要后端代客户端调用Facebook API，正确的做法是：

1. 客户端登录成功后，主动获取Facebook访问令牌并发送到后端：

   // 客户端代码示例
   firebase.auth().currentUser.providerData.forEach(provider => {
     if (provider.providerId === 'facebook.com') {
       provider.getAccessToken().then(token => {
         // 将令牌发送到后端接口
         fetch('/your-backend-api', {
           method: 'POST',
           headers: {'Content-Type': 'application/json'},
           body: JSON.stringify({facebookToken: token})
         });
       });
     }
   });
   

2. 后端接收到令牌后，直接用它调用Facebook的API即可，无需通过Admin SDK做转换。

如果需要长期访问Facebook API，可以让客户端在登录时请求Facebook的离线访问权限，获取刷新令牌并加密存储在后端，后续后端可用刷新令牌换取新的访问令牌。

内容的提问来源于stack exchange，提问作者Nth.gol