Firebase：如何验证条件后创建用户并防范客户端代码篡改？

客户端代码随便就能被篡改，甚至有人会直接用工具调用你的注册接口，所以前端的校验只能给用户提个醒，绝对不能当安全屏障。要保证仅允许Gmail账号注册的规则真的生效，核心得在服务端做强制校验，具体方案如下：

1. 服务端加校验逻辑（必做） #

不管你用的是Firebase Auth还是自己搭的后端，都得在服务端层面把注册请求拦下来，检查邮箱后缀是不是Gmail相关的（别忘了还有@googlemail.com这种Gmail的变体）：

用Firebase的话，写个云函数拦截 #

const functions = require('firebase-functions');
const admin = require('firebase-admin');
admin.initializeApp();

exports.checkGmailOnly = functions.auth.user().beforeCreate((user) => {
  const allowedDomains = ['gmail.com', 'googlemail.com'];
  const emailDomain = user.email.split('@')[1].toLowerCase();
  
  if (!allowedDomains.includes(emailDomain)) {
    throw new functions.auth.HttpsError(
      'invalid-argument',
      '只能用Gmail邮箱注册'
    );
  }
});

这个函数会在用户创建前触发，不符合条件直接拒绝注册。

自定义后端的话，接口里加校验 #

比如用Node.js+Express的例子：

app.post('/api/register', async (req, res) => {
  const { email, password } = req.body;
  const allowedDomains = ['gmail.com', 'googlemail.com'];
  const emailDomain = email.split('@')[1]?.toLowerCase();

  // 先检查邮箱后缀
  if (!emailDomain || !allowedDomains.includes(emailDomain)) {
    return res.status(400).json({ error: '只能用Gmail邮箱注册' });
  }

  // 没问题再执行创建用户的逻辑
  // ...
});

2. 前端校验留着提升体验 #

虽然前端校验防不了恶意操作，但可以在用户输入完就提示错误，不用等服务端返回，让用户体验更好：

function isGmail(email) {
  const allowedDomains = ['gmail.com', 'googlemail.com'];
  const domain = email.split('@')[1]?.toLowerCase();
  return allowedDomains.includes(domain);
}

// 注册按钮点击时先检查
if (isGmail(email)) {
  createUserWithEmailAndPassword(auth, email, password)
    .then((userCredential) => {
      // 注册成功处理
    })
    .catch(err => {
      // 这里要处理服务端返回的错误，比如有人绕过前端直接请求
      alert(err.message);
    });
} else {
  alert('只能用Gmail邮箱注册哦');
}

3. 额外加固小技巧 #

• 禁掉客户端直接创建用户的权限：如果用Firebase，在规则里设置只有云函数或者服务端能创建用户，不让客户端直接调用createUserWithEmailAndPassword，强制所有注册请求走服务端的校验流程。
• 加邮箱验证：要求用户验证注册的Gmail邮箱，既能确认邮箱是真实可用的，也能进一步过滤恶意注册。

内容的提问来源于stack exchange，提问作者JobHunter69