能否不使用Firebase Authentication，通过自定义OTP系统在Firebase创建用户？

完全可以通过自行搭建的OTP验证系统在Firebase中创建用户，核心是利用Firebase的自定义身份验证能力，通过自定义令牌关联你的OTP验证结果。具体实现步骤如下：

• 先完成自定义OTP验证流程：
  前端收集用户手机号并发送到你的OTP服务，用户输入收到的验证码后，由你的服务完成合法性校验，确认用户身份有效。

• 在后端生成Firebase自定义令牌：
  你的后端需要集成Firebase Admin SDK，当OTP验证通过后，使用Admin SDK生成包含用户唯一标识（比如手机号作为uid）的自定义令牌。
  Node.js示例代码：

  const admin = require("firebase-admin");
  // 提前用服务账号密钥初始化Admin SDK
  admin.initializeApp();
  
  function generateCustomToken(phoneNumber) {
    // 用手机号生成唯一uid，也可自定义规则
    const uid = `phone_${phoneNumber.replace(/[^0-9]/g, "")}`;
    return admin.auth().createCustomToken(uid)
      .then(token => token)
      .catch(err => console.error("生成令牌失败:", err));
  }
  

• Android前端用自定义令牌登录Firebase：
  后端将生成的自定义令牌返回给前端后，调用Firebase Auth的signInWithCustomToken方法完成登录。如果该uid对应的用户不存在，Firebase会自动创建用户；如果已存在，则直接登录。
  Kotlin示例代码：

  val firebaseAuth = FirebaseAuth.getInstance()
  firebaseAuth.signInWithCustomToken(customTokenFromBackend)
      .addOnCompleteListener { task ->
          if (task.isSuccessful) {
              // 用户创建/登录成功，可获取当前用户信息
              val currentUser = firebaseAuth.currentUser
          } else {
              // 处理登录失败逻辑
              task.exception?.let { /* 错误处理 */ }
          }
      }
  

• 关键注意点：

  • 自定义令牌必须在后端生成，绝对不能在前端处理，避免Firebase Admin密钥泄露
  • 确保你的OTP验证流程足够安全，比如限制验证码有效期、尝试次数，防止暴力破解
  • 可以在生成令牌时添加自定义用户声明，用于后续的权限控制或业务逻辑判断

内容的提问来源于stack exchange，提问作者Remo