Flutter+Firebase多租户模型认证漏洞：用户跨租户登录问题求助

针对你遇到的用户能跨租户登录访问其他公司数据的问题，核心要做的是把用户身份和租户ID强绑定，同时从认证逻辑、数据库安全两层设防，以下是具体实现方案：

1. 给用户认证信息绑定租户ID #

用Firebase Auth的自定义Claims给每个用户打上租户标识，这是实现用户-租户绑定的基础：

• 后端用Admin SDK设置用户的tenantId自定义声明（比如用户创建或分配租户时执行）：

  // Node.js Admin SDK 示例
  const admin = require('firebase-admin');
  admin.auth().setCustomUserClaims('用户UID', { tenantId: 'company_xxxx' });
  

• Flutter端登录后获取该声明并存储，后续接口/数据库请求都带上这个标识：

  // 登录后获取租户ID
  final user = FirebaseAuth.instance.currentUser;
  if (user != null) {
    final tokenResult = await user.getIdTokenResult();
    final tenantId = tokenResult.claims?['tenantId'] as String?;
    // 存入本地存储（比如SharedPreferences）
  }
  

2. 登录流程加租户校验逻辑 #

在登录环节就拦截跨租户访问的可能：

• 如果你的业务是用户只能属于一个租户，登录成功后直接获取用户的tenantId，和当前应用要访问的租户ID做比对，不匹配则直接登出并提示无权限。
• 如果有租户选择入口，先校验该用户是否有权限访问所选租户（可通过Firestore查询用户-租户关联表），校验不通过禁止登录。

3. 用Firestore安全规则彻底锁死权限 #

这是最核心的安全保障，即使前端逻辑被绕过，数据库层面也能拦截非法访问：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 匹配所有按租户划分的集合结构
    match /companies/{tenantId}/{document=**} {
      // 仅允许租户ID匹配的认证用户读写
      allow read, write: if request.auth != null && request.auth.token.tenantId == tenantId;
    }
  }
}

这条规则确保用户只能访问和自己tenantId完全匹配的公司下的所有文档，从根源上阻断跨租户访问。

4. 限制租户切换（如果需要） #

• 若业务不允许用户切换租户，直接移除前端的租户切换入口；
• 若允许切换，必须通过后端接口校验用户权限，更新其自定义Claims后，要求用户重新登录生效，避免前端随意切换。

内容的提问来源于stack exchange，提问作者sadil manjiyani