如何使用Firebase邮件服务发送OTP验证码替代默认邮箱验证链接？

核心结论 #

Firebase Auth原生不支持直接通过邮箱发送OTP验证码来替代默认的验证链接，但可以通过自定义业务流程实现类似需求。

具体实现思路 #

1. 邮箱密码登录/注册场景

• 放弃Firebase原生的邮箱验证流程，自行实现OTP逻辑：
  • 用户提交邮箱（注册/登录请求）后，后端生成随机6位或8位OTP，将OTP与用户邮箱、过期时间（比如5分钟）一起存储到Firebase Realtime Database或Firestore中。
  • 调用邮件发送服务（可通过Firebase Cloud Functions集成第三方邮件API，或使用Firebase扩展市场的邮件服务）将OTP发送至用户邮箱。
  • 用户在应用内输入OTP后，后端从数据库查询对应邮箱的有效OTP，验证匹配且未过期后：
    • 注册场景：调用createUserWithEmailAndPassword创建用户，同时标记邮箱为已验证（updateUser设置emailVerified: true）。
    • 登录场景：生成Firebase自定义令牌（createCustomToken），让客户端调用signInWithCustomToken完成登录。

2. 谷歌登录场景

谷歌登录本身基于OAuth授权，Firebase默认会信任谷歌返回的用户身份信息，但如果需要强制验证用户邮箱：

• 用户完成谷歌授权后，检查用户的emailVerified字段，若为false，触发上述自定义OTP发送流程。
• 用户验证OTP通过后，调用updateUser将emailVerified设为true，再允许用户进入应用。

关键注意事项 #

• 必须设置OTP的过期时间，避免长期有效带来安全风险。
• 限制同一邮箱的OTP发送频率，防止恶意请求轰炸。
• 存储OTP时建议加密，或者使用一次性的存储逻辑（验证成功后立即删除OTP记录）。

内容的提问来源于stack exchange，提问作者devblock