安卓应用Firebase Auth无链接验证码验证及密码重置方案咨询

问题梳理 #

• 问题1：政府机构邮箱无法打开Firebase自带的邮箱验证/密码重置链接（防火墙拦截）
• 问题2：Firestore全局规则要求登录才能访问，导致未登录状态下无法执行密码重置相关的Firestore操作

解决方案设计（基于验证码思路优化） #

核心思路：替换Firebase自带的链接式验证/重置，改为验证码+自定义邮件的方式，同时调整Firestore规则，放开未登录状态下必要的验证码操作权限。

1. 邮箱验证/密码重置的验证码实现 #

步骤1：生成并存储验证码

当用户注册/申请密码重置时，生成6位随机验证码，存入对应用户的Firestore文档：

// 生成6位随机验证码
int verificationCode = new Random().nextInt(900000) + 100000;

// 注册场景：创建用户后存入Firestore
firebaseAuth.createUserWithEmailAndPassword(email, password)
    .addOnCompleteListener(task -> {
        if (task.isSuccessful()) {
            FirebaseUser user = firebaseAuth.getCurrentUser();
            if (user != null) {
                Persons person = new Persons();
                person.setPerson_name(name);
                person.setVerification_code(verificationCode);
                person.setEmail_verification(false);
                // 其他字段赋值...
                
                // 存入Firestore，文档ID用用户UID
                firestore.collection("users").document(user.getUid())
                    .set(person)
                    .addOnSuccessListener(aVoid -> {
                        // 发送验证码邮件
                        sendVerificationEmail(email, verificationCode);
                    });
            }
        }
    });

// 密码重置场景：未登录时，通过邮箱匹配用户并更新验证码
firestore.collection("users").whereEqualTo("person_email", email)
    .get()
    .addOnSuccessListener(queryDocumentSnapshots -> {
        if (!queryDocumentSnapshots.isEmpty()) {
            DocumentSnapshot doc = queryDocumentSnapshots.getDocuments().get(0);
            doc.getReference().update("verification_code", verificationCode)
                .addOnSuccessListener(aVoid -> {
                    sendVerificationEmail(email, verificationCode);
                });
        }
    });

步骤2：自定义发送验证码邮件

使用Firebase Cloud Functions发送纯文本邮件（避免链接被拦截），示例代码如下：

// Firebase Cloud Functions（index.js）
const functions = require("firebase-functions");
const nodemailer = require("nodemailer");

// 配置邮件传输器
const transporter = nodemailer.createTransport({
    service: "Gmail",
    auth: {
        user: functions.config().gmail.user,
        pass: functions.config().gmail.pass
    }
});

// 发送验证码邮件的云函数
exports.sendVerificationCode = functions.https.onCall(async (data, context) => {
    const { email, code, type } = data; // type: "verify"（验证）或"reset"（重置密码）
    let subject, text;
    if (type === "verify") {
        subject = "账号验证验证码";
        text = `请使用以下验证码完成邮箱验证：${code}`;
    } else if (type === "reset") {
        subject = "密码重置验证码";
        text = `请使用以下验证码重置密码：${code}`;
    }

    const mailOptions = {
        from: "你的应用名称 <your-email@gmail.com>",
        to: email,
        subject: subject,
        text: text
    };

    await transporter.sendMail(mailOptions);
    return { success: true };
});

步骤3：验证码验证逻辑

• 邮箱验证：用户登录后输入验证码，对比Firestore中存储的验证码，验证通过后更新email_verification为true
• 密码重置：用户输入邮箱和验证码，验证通过后调用firebaseAuth.updatePassword（需用户临时登录，或通过云函数完成操作）

2. Firestore规则调整 #

针对未登录状态下的密码重置场景，放开用户文档的验证码读取/更新权限，同时保留其他数据的登录限制：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 全局默认：登录用户可访问所有数据
    match /{document=**} {
      allow read, write: if request.auth != null;
    }
    
    // 未登录用户仅可操作自己的验证码字段
    match /users/{userId} {
      allow read: if request.auth == null 
                  && resource.data.person_email == request.resource.data.person_email;
      allow update: if request.auth == null 
                    && request.resource.data.keys().hasOnly(["verification_code"])
                    && resource.data.person_email == request.resource.data.person_email;
    }
  }
}

规则说明：通过person_email匹配用户，确保未登录用户只能操作自身的验证码字段，防止越权访问。

额外优化建议 #

• 给验证码添加过期时间：在Persons类中新增code_expire_time字段，存储验证码过期时间（如15分钟），验证时先检查是否过期
• 密码重置操作尽量通过云函数完成，避免客户端直接处理敏感逻辑
• 邮件内容保持简洁，避免敏感关键词，降低被防火墙拦截的概率

内容的提问来源于stack exchange，提问作者Bukrek35TR