Node.js + Firebase Admin登录功能报错求助，注册功能正常

核心错误原因 #

你的登录逻辑存在两个关键问题：

1. Firebase Admin SDK 不存在auth.verifyPassword()方法：Admin SDK的定位是用户管理工具，不提供密码直接验证的功能，这个方法是你错误臆想的。
2. 无法通过passwordHash验证密码：userRecord.passwordHash是Firebase加密存储的哈希值，没有公开的解密或直接校验明文密码的方法，你无法用它来验证用户输入的密码。

正确实现方案 #

Firebase Auth的登录验证遵循「客户端完成登录，后端验证令牌」的标准流程，或者后端调用官方REST API完成登录，以下是两种可行方案：

方案1：客户端登录后，后端验证ID令牌 #

这是Firebase推荐的安全流程：

1. 前端用Firebase Client SDK完成登录，获取ID令牌；
2. 前端将令牌传给后端接口；
3. 后端用Admin SDK验证令牌合法性。

修改后端/connexion接口代码：

app.post('/connexion', async (req, res) => {
  const { idToken } = req.body;

  try {
    // 验证ID令牌的合法性，自动检查过期时间
    const decodedToken = await auth.verifyIdToken(idToken);
    // 可选：获取用户完整信息
    const userRecord = await auth.getUser(decodedToken.uid);
    
    res.json({ message: 'Connexion réussie', user: { uid: userRecord.uid, email: userRecord.email } });
  } catch (error) {
    console.error('Erreur lors de la connexion :', error);
    if (error.code === 'auth/id-token-expired') {
      res.status(401).json({ error: 'Token expiré' });
    } else if (error.code === 'auth/invalid-id-token') {
      res.status(401).json({ error: 'Token invalide' });
    } else {
      res.status(500).json({ error: 'Erreur serveur' });
    }
  }
});

前端配套代码（使用Firebase Client SDK）：

import { getAuth, signInWithEmailAndPassword, getIdToken } from "firebase/auth";

const auth = getAuth();
signInWithEmailAndPassword(auth, email, password)
  .then(async (userCredential) => {
    const user = userCredential.user;
    const idToken = await user.getIdToken();
    // 发送令牌到后端
    fetch('/connexion', {
      method: 'POST',
      headers: { 'Content-Type': 'application/json' },
      body: JSON.stringify({ idToken })
    })
    .then(res => res.json())
    .then(data => console.log(data));
  })
  .catch((error) => {
    console.error(error.code, error.message);
  });

方案2：后端调用Firebase Auth REST API完成登录 #

如果必须在后端处理登录逻辑，可以调用官方REST API：

const axios = require('axios'); // 需先安装：npm install axios

app.post('/connexion', async (req, res) => {
  const { email, password } = req.body;
  const API_KEY = '你的Firebase项目API_KEY'; // 从Firebase控制台获取

  try {
    const response = await axios.post(`https://identitytoolkit.googleapis.com/v1/accounts:signInWithPassword?key=${API_KEY}`, {
      email,
      password,
      returnSecureToken: true
    });

    const { idToken, localId, email: userEmail } = response.data;
    // 可选：二次验证令牌合法性，确保请求可信
    await auth.verifyIdToken(idToken);

    res.json({ message: 'Connexion réussie', user: { uid: localId, email: userEmail } });
  } catch (error) {
    console.error('Erreur lors de la connexion :', error.response?.data?.error || error.message);
    if (error.response?.data?.error?.code === 400) {
      res.status(401).json({ error: 'Email ou mot de passe incorrect' });
    } else {
      res.status(500).json({ error: 'Erreur serveur' });
    }
  }
});

额外建议 #

• 不要尝试在后端存储或直接验证用户密码，Firebase Auth已经完成了密码的安全存储与验证逻辑；
• 生产环境中，需针对不同错误场景返回更具体的提示，帮助前端定位问题。

内容的提问来源于stack exchange，提问作者Discord Glamgar