Flutter中Firestore Auth管理员删除其他用户账号方案求助

Firebase Auth的客户端SDK（包括Flutter的firebase_auth包）不支持直接删除当前登录用户以外的账号，这是出于安全设计——客户端操作仅能管控当前用户自身的账号。要实现管理员删除其他用户的功能，必须通过Firebase Admin SDK完成，通常借助Cloud Functions作为中间层来实现。

步骤1：部署Cloud Functions处理删除逻辑 #

编写云函数，用Admin SDK执行用户删除操作，同时严格验证调用者的管理员权限：

const functions = require("firebase-functions");
const admin = require("firebase-admin");
admin.initializeApp();

exports.deleteUser = functions.https.onCall(async (data, context) => {
  // 验证调用者是否已登录
  if (!context.auth) {
    throw new functions.https.HttpsError("unauthenticated", "用户未登录");
  }

  // 验证调用者是否为管理员（假设用自定义Claims存储角色）
  const user = await admin.auth().getUser(context.auth.uid);
  const isAdmin = user.customClaims?.role === "Admin" || user.customClaims?.role === "Super admin";
  if (!isAdmin) {
    throw new functions.https.HttpsError("permission-denied", "无权限执行此操作");
  }

  // 获取要删除的用户UID
  const targetUserId = data.uid;
  if (!targetUserId) {
    throw new functions.https.HttpsError("invalid-argument", "缺少目标用户UID");
  }

  try {
    await admin.auth().deleteUser(targetUserId);
    return { success: true, message: "用户已删除" };
  } catch (error) {
    throw new functions.https.HttpsError("internal", error.message);
  }
});

步骤2：Flutter客户端调用云函数 #

在Flutter代码中，先校验当前用户的管理员身份，再调用云函数执行删除：

import 'package:cloud_functions/cloud_functions.dart';
import 'package:firebase_auth/firebase_auth.dart';

// 检查当前用户是否为管理员
Future<bool> isCurrentUserAdmin() async {
  final user = FirebaseAuth.instance.currentUser;
  if (user == null) return false;
  
  // 从自定义Claims获取角色
  final idTokenResult = await user.getIdTokenResult();
  final role = idTokenResult.claims?['role'];
  return role == 'Admin' || role == 'Super admin';
}

// 删除目标用户
Future<void> deleteTargetUser(String targetUserId) async {
  final isAdmin = await isCurrentUserAdmin();
  if (!isAdmin) {
    throw Exception('无权限删除用户');
  }

  final functions = FirebaseFunctions.instance;
  try {
    final result = await functions.httpsCallable('deleteUser').call({
      'uid': targetUserId,
    });
    print(result.data['message']);
  } catch (e) {
    print('删除失败: ${e.toString()}');
    rethrow;
  }
}

关键注意事项 #

• 双端权限验证：客户端的权限判断是为了优化用户体验，服务端（云函数）的验证才是安全核心，必须严格校验调用者角色，防止恶意请求。
• 通过邮箱获取UID：如果界面展示的是用户邮箱，可在云函数中通过admin.auth().getUserByEmail(email)获取目标用户UID后再执行删除。
• 设置自定义Claims：管理员角色需在后端通过Admin SDK或Firebase控制台给用户添加role: "Admin"的自定义Claims。

内容的提问来源于stack exchange，提问作者REMASTERED1