Firebase服务器端如何通过AuthCredential更新已验证用户手机号？

推荐方案：客户端生成验证凭证，服务器端校验并执行操作 #

这是最简洁且符合安全要求的实现方式，流程如下：

• 客户端保留原有的手机号验证逻辑，完成验证码校验后生成PhoneAuthCredential
• 将验证所需的verificationId和verificationCode（或序列化后的credential）通过API接口传给服务器
• 服务器端先校验凭证有效性，确认无误后更新用户手机号并执行数据库操作

服务器端核心代码示例：

const { auth } = require("firebase-admin");
const { PhoneAuthProvider } = require("firebase-admin/auth");

// 假设从请求中获取目标用户UID、验证ID和验证码
const { targetUid, verificationId, verificationCode } = req.body;

try {
  // 生成并验证凭证
  const credential = PhoneAuthProvider.credential(verificationId, verificationCode);
  const userRecord = await auth().signInWithCredential(credential);

  // 确保凭证所属用户与目标用户一致，防止越权操作
  if (userRecord.uid !== targetUid) {
    throw new Error("凭证所属用户与目标用户不匹配");
  }

  // 更新用户手机号
  await auth().updateUser(targetUid, { 
    phoneNumber: credential.phoneNumber 
  });

  // 执行你的自定义数据库操作
  await db.collection("users").doc(targetUid).update({
    // 这里填写你的数据库更新字段
    updatedAt: new Date(),
    phoneNumber: credential.phoneNumber
  });

  res.status(200).send("手机号更新成功");
} catch (error) {
  // 处理凭证无效、用户不匹配等错误
  res.status(400).send(`操作失败：${error.message}`);
}

如果客户端直接传递序列化后的credential，可以用PhoneAuthProvider.deserializeCredential()方法解析。

备选方案：服务器端发起手机号验证（复杂度较高） #

若要完全在服务器端发起验证流程，可使用Firebase Admin SDK的verifyPhoneNumber方法，但需额外配置短信发送权限（需开通Firebase Auth的短信服务并配置付费）：

1. 服务器调用auth().verifyPhoneNumber(phoneNumber, { /* 配置项 */ })发送验证码给用户
2. 用户提交验证码后，服务器生成PhoneAuthCredential并校验，后续步骤同推荐方案

此方式流程繁琐且需要额外配置，除非有特殊需求，否则不推荐。

关于你理想方案的说明 #

Firebase Admin SDK的updateUser方法不支持直接传入PhoneAuthCredential来设置手机号，必须先通过signInWithCredential校验凭证有效性，确认后再提取手机号进行更新。推荐方案已经最贴近你的需求——既保证手机号已验证，又能在服务器端统一处理数据库操作。

内容的提问来源于stack exchange，提问作者Antti_M