在Firebase Cloud Functions的beforeCreate()中使用generateEmailVerificationLink遇错求助

问题原因 #

beforeCreate 触发器的执行时机是用户记录正式写入Firebase Auth系统之前，此时用户数据还未持久化存储，调用 admin.auth().generateEmailVerificationLink 时，系统找不到对应的用户记录，因此抛出「没有匹配的用户记录」错误。官方文档的示例可能未明确标注触发器的时序限制，导致你踩了时机的坑。

可行方案 #

1. 改用 afterCreate 触发器（推荐） #

将触发器切换为用户创建完成后的 afterCreate，此时用户记录已存入Firebase Auth，可正常生成验证链接：

exports.afterCreate = functions.auth.user().afterCreate((user, context) => {
  const locale = context.locale;
  if (user.email && !user.emailVerified) {
    return admin.auth().generateEmailVerificationLink(user.email)
      .then((link) => {
        return sendCustomVerificationEmail(user.email, link, locale);
      });
  }
});

2. 实现「仅验证邮箱后获取token」的核心需求 #

Firebase Auth默认注册成功就返回ID Token，要实现仅验证后获取有效可用的token，可通过以下方式：

• 客户端逻辑拦截：用户注册成功后，不直接进入应用页面，而是引导用户完成邮箱验证；验证完成后，让用户重新登录（或调用 currentUser.getIdToken(true) 强制刷新token），此时后端可校验token中的 email_verified 字段。
• 后端接口校验：所有需要权限的业务接口，都先解析token并检查 email_verified 声明，若为 false 则直接拒绝请求。
• 自定义token生成流程：绕开Firebase默认注册流程，通过自有后端处理：先收集用户邮箱并发送验证链接；用户验证邮箱后，后端调用 admin.auth().createUser 创建用户并生成自定义token返回给客户端，确保只有验证后的用户能拿到token。

3. 可选：阻止未验证用户登录 #

如果需要彻底禁止未验证邮箱的用户登录，可搭配 beforeSignIn 触发器：

exports.beforeSignIn = functions.auth.user().beforeSignIn((user, context) => {
  if (!user.emailVerified) {
    throw new functions.auth.HttpsError(
      'permission-denied',
      '请先验证您的邮箱'
    );
  }
});

内容的提问来源于stack exchange，提问作者LucaT