如何在Firebase中更简便地更新多因素认证（MFA）手机号？

目前Firebase客户端SDK没有直接替换MFA手机号的API，但可以通过先添加新号码、再删除旧号码的方式实现需求，同时优化重新认证环节来简化流程，具体方案如下：

简化后的核心流程 #

1. 验证登录有效性 #

Firebase会自动检查用户是否为近期登录（默认是5分钟内），如果是则直接进入下一步；如果不是，才需要触发重新认证。

2. 优化重新认证步骤 #

根据用户的登录方式，选择更友好的重新认证方式：

• 密码登录用户：调用reauthenticateWithCredential完成验证，若用户属于MFA账号，Firebase会自动触发原MFA手机号的验证码验证，无需额外处理：

const user = firebase.auth().currentUser;
const credential = firebase.auth.EmailAuthProvider.credential(
  user.email,
  userInputPassword
);

try {
  await user.reauthenticateWithCredential(credential);
} catch (error) {
  if (error.code === 'auth/multi-factor-auth-required') {
    // 自动触发原MFA手机号的验证码验证
    const resolver = error.resolver;
    const phoneHint = resolver.hints.find(hint => hint.type === 'phone');
    const verificationId = await firebase.auth().verifyPhoneNumberForMultiFactor({
      multiFactorHint: phoneHint,
      session: resolver.session
    });
    // 引导用户输入原手机号验证码
    const assertion = firebase.auth.PhoneMultiFactorAssertion.assertion(verificationId, oldPhoneCode);
    await resolver.resolveSignIn(assertion);
  }
}

• 邮箱链接登录用户：跳过邮箱二次验证，直接用原MFA手机号的验证码完成重新认证，流程更简洁。

3. 添加新MFA手机号 #

调用官方API完成新号码的验证与绑定，保留Firebase自带的安全通知机制（绑定成功后发送带撤销链接的邮件）：

// 获取MFA会话
const session = await firebase.auth().currentUser.multiFactor.getSession();
// 发送新手机号验证码
const verificationId = await firebase.auth().verifyPhoneNumberForMultiFactor({
  phoneNumber: newPhoneNumber,
  session: session
});
// 用户输入新验证码后完成绑定
const assertion = firebase.auth.PhoneMultiFactorAssertion.assertion(verificationId, newPhoneCode);
await firebase.auth().currentUser.multiFactor.enroll(assertion, '个人手机号');

4. 删除旧MFA手机号 #

从用户的enrolledFactors列表中找到旧号码，调用unenroll删除：

const user = firebase.auth().currentUser;
const oldFactor = user.multiFactor.enrolledFactors.find(factor => factor.phoneNumber === oldPhoneNumber);
if (oldFactor) {
  await user.multiFactor.unenroll(oldFactor.uid);
}

方案优势 #

• 避免了原流程中多次索要验证码的冗余步骤，重新认证环节利用已绑定的MFA手机号完成验证，无需用户重复输入密码或打开邮箱
• 完全基于Firebase客户端SDK实现，保留了官方的安全机制（如绑定通知邮件）
• 实现了“替换旧手机号”的核心需求，流程更贴近你期望的理想体验

不推荐使用Admin SDK的原因 #

• 用Admin SDK修改enrolledFactors会强制用户令牌失效，必须重新登录，影响体验
• 需自行实现手机号验证逻辑，额外增加开发成本，且丢失Firebase自带的安全通知机制

内容的提问来源于stack exchange，提问作者Woof