Firebase Auth：如何仅向已注册邮箱发送密码重置邮件

Firebase Auth的sendPasswordResetEmail方法是故意设计成无论邮箱是否注册，都会返回成功的，这是为了避免泄露用户的注册状态，防止攻击者通过这个接口枚举平台上的注册邮箱。所以你当前的代码无法通过task.isSuccessful()来判断邮箱是否存在。

下面提供三种可行的解决方案：

方案一：通过Firebase Admin SDK在后端检查（推荐） #

这是最安全可靠的方式，后端可以直接调用Admin SDK查询用户是否存在，再决定是否发送重置邮件。

后端示例（Node.js） #

const admin = require('firebase-admin');

// 初始化Admin SDK（需提前配置服务账号）
admin.initializeApp();

exports.checkEmailAndSendReset = async (req, res) => {
  const { email } = req.body;
  try {
    // 检查邮箱是否对应已注册用户
    await admin.auth().getUserByEmail(email);
    // 存在则发送密码重置邮件
    await admin.auth().sendPasswordResetEmail(email);
    res.status(200).send({ message: "重置邮件已发送" });
  } catch (error) {
    if (error.code === 'auth/user-not-found') {
      res.status(404).send({ error: "该邮箱未注册" });
    } else {
      res.status(500).send({ error: "邮件发送失败" });
    }
  }
};

前端调整 #

前端不再直接调用sendPasswordResetEmail，而是通过HTTP请求调用上述后端接口，根据返回状态处理UI：

String emailStr = email.getEditText().getText().toString();
RequestBody requestBody = new FormBody.Builder()
        .add("email", emailStr)
        .build();

Request request = new Request.Builder()
        .url("你的后端接口地址")
        .post(requestBody)
        .build();

new OkHttpClient().newCall(request).enqueue(new Callback() {
    @Override
    public void onFailure(@NonNull Call call, @NonNull IOException e) {
        runOnUiThread(() -> email.setError(getString(R.string.network_error)));
    }

    @Override
    public void onResponse(@NonNull Call call, @NonNull Response response) throws IOException {
        runOnUiThread(() -> {
            if (response.isSuccessful()) {
                loadFragment(new NewFragment());
            } else if (response.code() == 404) {
                email.setError(getString(R.string.email_not_assigned));
            } else {
                email.setError(getString(R.string.send_failed));
            }
        });
    }
});

方案二：前端尝试登录验证（不推荐） #

通过调用signInWithEmailAndPassword并使用无效密码，测试邮箱是否存在。但这种方法有登录失败次数限制，可能触发账号锁定，仅适合测试环境。

示例代码 #

String emailStr = email.getEditText().getText().toString();
fAuth.signInWithEmailAndPassword(emailStr, "dummy-invalid-password")
        .addOnCompleteListener(task -> {
            if (task.isSuccessful()) {
                // 理论上不会触发，因为密码无效
                fAuth.sendPasswordResetEmail(emailStr)
                        .addOnCompleteListener(resetTask -> {
                            if (resetTask.isSuccessful()) {
                                loadFragment(new NewFragment());
                            } else {
                                email.setError(getString(R.string.send_failed));
                            }
                        });
            } else {
                FirebaseAuthException exception = (FirebaseAuthException) task.getException();
                String errorCode = exception.getErrorCode();
                if (errorCode.equals("auth/user-not-found")) {
                    email.setError(getString(R.string.email_not_assigned));
                } else if (errorCode.equals("auth/wrong-password")) {
                    // 邮箱存在，发送重置邮件
                    fAuth.sendPasswordResetEmail(emailStr)
                            .addOnCompleteListener(resetTask -> {
                                if (resetTask.isSuccessful()) {
                                    loadFragment(new NewFragment());
                                } else {
                                    email.setError(getString(R.string.send_failed));
                                }
                            });
                } else {
                    email.setError(getString(R.string.unknown_error));
                }
            }
        });

方案三：借助Firestore/Realtime Database存储邮箱 #

用户注册时，将邮箱存入Firestore或Realtime Database，前端通过查询数据库判断邮箱是否存在。

示例代码（Firestore） #

String emailStr = email.getEditText().getText().toString();
FirebaseFirestore db = FirebaseFirestore.getInstance();

db.collection("users")
        .whereEqualTo("email", emailStr)
        .get()
        .addOnCompleteListener(queryTask -> {
            if (queryTask.isSuccessful() && !queryTask.getResult().isEmpty()) {
                // 邮箱存在，发送重置邮件
                fAuth.sendPasswordResetEmail(emailStr)
                        .addOnCompleteListener(resetTask -> {
                            if (resetTask.isSuccessful()) {
                                loadFragment(new NewFragment());
                            } else {
                                email.setError(getString(R.string.send_failed));
                            }
                        });
            } else {
                email.setError(getString(R.string.email_not_assigned));
            }
        });

注意事项 #

需要配置Firestore安全规则，防止恶意枚举邮箱，比如限制查询只能由已认证用户发起：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /users/{userId} {
      allow read: if request.auth != null && request.query.email == request.auth.token.email;
    }
  }
}

内容的提问来源于stack exchange，提问作者Teo