FirebaseAuth无法捕获user-not-found与wrong-password错误求助

问题描述 #

使用Flutter集成Firebase Auth实现登录功能时，出现以下异常情况：

• 输入未注册邮箱、或正确邮箱搭配错误密码时，均返回invalid-credential错误码，而非预期的user-not-found或wrong-password
• 仅当邮箱格式错误时，能正确触发invalid-email错误码

相关错误处理代码：

switch (e.code) {
  case "invalid-email":
    await showErrorDialog(context,"The entered e-mail format is invalid");
    break;
  case "user-not-found":
    await showErrorDialog(context,"The user is not registered");
    break;
  case "wrong-password":
    await showErrorDialog(context,"wrong password");
    break;
  case "invalid-credential":
    await showErrorDialog(context,"Invalid username-password combination. Try checking again and enter valid username password info");
    break;                       
  default:
    devtools.log("No errors");                     
}                

原因分析 #

这是Firebase Auth默认启用的用户枚举防护机制：为避免攻击者通过错误提示枚举已注册的用户邮箱，SDK会将user-not-found和wrong-password两类错误合并为invalid-credential返回，该逻辑在最新版本的Firebase Auth SDK中默认生效。

解决方案 #

方案1：关闭用户枚举防护（不推荐，存在安全风险） #

1. 登录Firebase控制台，进入目标项目
2. 依次导航至认证 → 登录方法 → 高级选项卡
3. 找到「防止用户枚举」选项，将其关闭
4. 保存设置后重新测试，此时会返回具体的user-not-found或wrong-password错误码

方案2：统一错误提示（推荐，兼顾安全） #

保留默认安全设置，将invalid-credential的提示改为通用表述，避免泄露用户信息，示例修改：

case "invalid-credential":
  await showErrorDialog(context,"邮箱或密码不正确，请检查后重试");
  break;

方案3：确认SDK版本 #

检查pubspec.yaml中firebase_auth的版本，旧版本可能存在行为差异，但不建议为区分错误而降级SDK——这会丢失安全防护能力。

内容的提问来源于stack exchange，提问作者Vignesh