无需Firebase Admin SDK实现Firebase认证多用户CRUD可行吗？

能否不使用Admin SDK实现多用户添加及CRUD？ #

• Firebase客户端Web SDK仅支持用户管理自身账号（比如修改自己的密码、邮箱），无法直接创建、修改或删除其他用户——这是Firebase的安全规则限制，防止普通前端用户拥有过高权限。
• 如果不想使用Admin SDK，有两种替代思路，但都有明显局限：
  • 自定义后端服务：自己搭建后端生成Firebase自定义令牌，让前端通过该令牌登录特权账号来操作其他用户，但本质还是需要后端逻辑，且安全风险较高（需严格管控特权账号的使用）。
  • 完全自定义用户系统：将用户数据存储在Firestore/Realtime Database，自行实现认证逻辑，但需要处理密码哈希、会话安全等细节，安全性和维护成本远高于原生Firebase Auth，不推荐。

Admin SDK是必需工具吗？ #

• 对于**批量添加用户、跨用户CRUD（如修改他人邮箱、禁用账号、批量删除）**这类特权操作，Admin SDK是官方推荐的唯一合规方案。这类操作必须在受信任的环境（后端服务器、Firebase Cloud Functions、本地脚本）中执行，不能暴露在前端。
• 如果仅需用户自主注册或管理自身账号，使用客户端Web SDK的createUserWithEmailAndPassword等接口即可，无需Admin SDK。

使用Admin SDK会产生费用吗？ #

• Admin SDK本身完全免费，不收取单独费用。
• 费用来自其调用的Firebase关联服务：
  • 若在Firebase Cloud Functions中运行Admin SDK代码，会按Functions的调用次数、运行时长计费，但Firebase提供了免费额度，中小项目通常不会产生费用。
  • 若部署到自有服务器，费用仅为服务器的运维成本，与Firebase无关。

相关建议 #

• 管理员批量管理用户：优先采用「前端触发Cloud Functions + Functions内调用Admin SDK」的方案，无需自行维护服务器，且能利用Firebase的安全运行环境。
• 前端用户自主注册：直接使用客户端SDK的createUserWithEmailAndPassword接口即可，无需Admin SDK。
• 权限管控：在调用Admin SDK的逻辑中，务必添加身份验证，确保只有授权管理员能执行特权操作（比如在Functions中检查调用者的UID是否属于管理员列表）。

内容的提问来源于stack exchange，提问作者flutternewbiee