如何通过Firebase Authentication仅允许单个用户登录？

核心思路 #

Firebase Authentication本身支持邮箱/密码登录体系，要实现仅指定管理员账号可登录，核心是在登录流程中添加身份校验逻辑，同时通过后端/云函数保障安全性（前端校验易被绕过，不能单独依赖）。

方案一：基于邮箱白名单的登录校验 #

1. 预先创建管理员账号：在Firebase控制台的「Authentication」→「用户」页面，手动创建允许登录的管理员邮箱/密码账号。
2. 客户端初步校验：用户输入邮箱后，先检查是否在预设的管理员邮箱列表内（比如['admin@yourdomain.com', 'ops@yourdomain.com']），不在则直接提示禁止登录。

   注意：这一步仅提升用户体验，不能作为安全屏障，必须配合后端校验。

3. 登录后后端二次校验：用户调用signInWithEmailAndPassword登录成功后，通过Cloud Functions或你的后端服务，验证该用户的邮箱是否在白名单中。若不在，调用Auth API强制登出该用户。

方案二：使用自定义用户声明（推荐，更安全） #

自定义声明会嵌入到用户的ID Token中，无法被客户端篡改，是更可靠的权限校验方式：

1. 创建管理员账号：同方案一，先在控制台创建管理员邮箱账号。
2. 为管理员添加自定义声明：使用Firebase Admin SDK给目标用户添加admin: true的声明，示例代码（Node.js）：

   const admin = require('firebase-admin');
   admin.initializeApp();
   
   // 替换为目标管理员的UID
   const adminUid = 'xxxxxxxxx';
   admin.auth().setCustomUserClaims(adminUid, { admin: true })
     .then(() => console.log('管理员权限声明已配置'))
     .catch(err => console.error('配置失败:', err));
   

3. 客户端校验权限：登录成功后，获取用户的ID Token结果，检查是否包含admin: true声明，不满足则强制登出：

   firebase.auth().onAuthStateChanged(user => {
     if (user) {
       user.getIdTokenResult().then(idTokenResult => {
         if (!idTokenResult.claims.admin) {
           firebase.auth().signOut();
           alert('非管理员账号，禁止访问');
         }
       });
     }
   });
   

4. 后端API权限校验：如果你的应用有后端接口，在接口处验证ID Token中的自定义声明，确保仅管理员能调用敏感接口。

方案三：阻止非管理员账号注册 #

如果要防止他人随意注册账号，可通过Cloud Functions的beforeCreate触发器拦截非指定邮箱的注册请求：

exports.restrictSignups = functions.auth.user().beforeCreate((user) => {
  const allowedAdminEmails = ['admin@yourdomain.com', 'dev@yourdomain.com'];
  if (!allowedAdminEmails.includes(user.email)) {
    throw new functions.auth.HttpsError('invalid-argument', '仅允许指定管理员邮箱注册');
  }
});

安全注意事项 #

• 永远不要仅依赖前端校验：前端代码可被篡改，必须在后端/云函数层做最终校验。
• 自定义声明是安全的：它由Firebase Auth签发，客户端无法修改，适合做权限判断。
• 管理员邮箱列表避免硬编码在前端：可存储在Firestore/Realtime Database，同时设置安全规则仅允许管理员读取。

内容的提问来源于stack exchange，提问作者Subhrajyoti Mahato