Flutter应用移除Android和iOS端Firebase短信验证的reCAPTCHA挑战

Android端额外排查项 #

• 补全SafetyNet/Play Integrity配置
  • 检查Firebase控制台的Android应用配置，必须同时添加SHA-1和SHA-256指纹，仅添加其中一个会导致设备验证失败，触发reCAPTCHA。
  • 前往Google Cloud控制台，确认"SafetyNet API"或"Play Integrity API"处于启用状态（推荐用Play Integrity替代已弃用的SafetyNet）。
  • 修改指纹或启用API后，务必重新下载google-services.json替换项目中的旧文件，旧配置不会自动同步。
• 排除设备环境问题
  • Root设备、自定义ROM设备会被SafetyNet/Play Integrity判定为不安全，必然触发reCAPTCHA，测试时优先用未Root的真实设备。
  • 部分模拟器无法通过官方验证，建议用实体设备测试核心流程。
• 确认App Check强制验证状态
  • 在Firebase控制台的App Check页面，将Android应用的验证模式设为强制执行，监控模式下部分请求会 fallback 到reCAPTCHA。

iOS端额外排查项 #

• 细化App Attestation配置
  • 登录Apple Developer后台，确认对应App ID已开启App Attestation功能（在Capabilities列表中启用）。
  • 检查GoogleService-Info.plist：测试环境需在Firebase控制台注册APP_CHECK_DEBUG_TOKEN，生产环境必须删除该字段，否则会干扰正式验证。
  • 确保项目Bundle ID与Firebase控制台注册的完全一致，大小写、字符都不能出错。
• 检查App Check验证模式
  • 同样将iOS应用的App Attestation设为强制执行状态，监控模式无法彻底避免reCAPTCHA触发。
• 注意系统版本限制
  • App Attestation仅支持iOS 14.0及以上版本，低于该版本的设备会自动触发reCAPTCHA，此情况无法避免。

通用配置与关键解决方法 #

• 严格控制初始化顺序
  • Flutter应用中必须先初始化Firebase App Check，再初始化Firebase Auth，顺序颠倒会导致App Check验证失效。示例代码：

    void main() async {
      WidgetsFlutterBinding.ensureInitialized();
      await Firebase.initializeApp();
      // 先激活App Check
      await FirebaseAppCheck.instance.activate(
        androidProvider: AndroidProvider.playIntegrity,
        appleProvider: AppleProvider.appAttestation,
      );
      // 再启动Auth相关逻辑
      runApp(MyApp());
    }
    

• 排查网络与地区因素
  • 部分地区的网络环境可能导致验证请求超时，触发reCAPTCHA兜底机制，可切换不同网络环境测试确认。
• 利用日志定位问题
  • 进入Firebase控制台的「Authentication -> 登录方法 -> 手机号」，查看「登录活动」中的失败日志，里面会显示具体的验证失败原因（如SafetyNet错误码），针对性修复即可。

最后说明 #

即使配置完全正确，Firebase仍可能在异常场景（如短时间内多次请求、新设备首次验证）触发reCAPTCHA作为兜底，但合理配置后这类情况会大幅减少。

内容的提问来源于stack exchange，提问作者axay nar