Firebase后端调用accounts:signUp API触发TOO_MANY_ATTEMPTS_TRY_LATER错误

我们的应用通过后端调用Firebase的accounts:signUp?key=[API_KEY] REST API实现访客用户的匿名登录流程，目的是避免在客户端（Web/移动端）暴露API密钥。常规测试时一切正常，但在性能测试持续一段时间后，Firebase开始拦截请求并返回如下错误：

{
  "error": {
    "code": 400,
    "message": "TOO_MANY_ATTEMPTS_TRY_LATER",
    "errors": [
      {
        "message": "TOO_MANY_ATTEMPTS_TRY_LATER",
        "domain": "global",
        "reason": "invalid"
      }
    ]
  }
}

查询资料发现这个错误码本该出现在邮箱验证链接相关API场景中，但我们的匿名登录调用却触发了它。想请教：

• 后端调用Firebase REST API做匿名登录属于合理场景吗？
• 是否存在Firebase官方文档未明确提及的限制或规则导致这个问题？

原因分析 #

1. API速率限制的隐性覆盖
   虽然官方文档将该错误码主要关联邮箱验证流程，但Firebase的后端API存在全局或端点级的速率限制，部分规则并未完全公开。性能测试中短时间内大量集中调用匿名登录API，触发了Firebase的高频请求拦截逻辑，因此返回了这个通用限流错误。

2. 请求来源的集中性触发安全防护
   后端所有请求都来自同一出口IP，且未为每个访客请求生成独立的设备/会话标识时，Firebase会将这些请求判定为同一来源的恶意批量操作，进而触发防护机制。而客户端分散请求通常来自不同IP，更难触发这类限制。

3. 匿名登录功能的防滥用限制
   匿名登录本质是创建临时用户账号，Firebase内置了针对账号创建频率的防滥用限制，目的是避免批量生成垃圾账号。后端集中调用的方式比客户端分散请求更容易触发该限制。

解决方案建议 #

• 添加后端请求限流逻辑
  在调用Firebase API的后端服务中设置QPS阈值，增加请求间隔，避免短时间内大量请求集中发送。
• 为请求添加独立标识
  调用accounts:signUp时，在请求参数中加入自定义的device_id或会话标识，让Firebase识别为不同来源的请求，降低被判定为恶意操作的概率。
• 改用Firebase Admin SDK
  后端服务优先使用Firebase Admin SDK而非REST API，Admin SDK拥有更高的调用限额，是官方推荐的服务端集成方式，能规避很多REST API的隐性限制。

内容的提问来源于stack exchange，提问作者Mahesh H Viraktamath