如何禁用Firebase前端登录链接生成并限制多因素注册邮件？

1. 禁用前端生成登录链接，仅允许Admin SDK操作 #

要彻底阻止前端生成/请求登录链接，可从两方面入手：

• 关闭前端邮箱链接登录权限：在Firebase控制台的「Auth > 登录方法」中，找到「邮箱/密码」选项，关闭「启用电子邮件链接登录」功能。前端调用sendSignInLinkToEmail等生成登录链接的API会直接报错，而你通过Admin SDK生成的登录链接不受影响——Admin SDK属于服务端身份，不受前端登录方法设置限制。
• 启用App Check加固防护：给前端应用配置App Check（比如用reCAPTCHA v3），只有通过验证的可信客户端才能调用Firebase Auth API。即便恶意用户拿到你的前端配置，没有有效App Check令牌也无法发起任何Auth相关请求。

2. 禁止多因素注册等邮件发送，防范前端信息泄露风险 #

针对多因素认证（MFA）相关的邮件发送，可通过以下方式限制：

• 关闭不必要的MFA方式：在Firebase控制台的「Auth > 多因素认证」中，禁用不需要的MFA提供商（比如邮件验证），仅保留必要方式（如短信或TOTP）。前端将无法触发MFA邮件发送请求。
• 限制MFA启用权限：通过Firebase Auth自定义声明或云函数，仅允许管理员账号启用MFA。例如，用户尝试启用MFA时，先检查其自定义声明（如isAdmin: true），只有符合条件的用户才能完成MFA注册，从根源阻止普通或恶意用户触发MFA邮件。
• 配合App Check拦截非法请求：和登录链接限制逻辑一致，App Check会拦截所有未经授权的前端API调用，即便恶意用户拿到前端配置，也无法发起MFA注册请求。

额外提醒：Firebase前端配置（apiKey、projectId等）本身是公开信息，不会直接引发安全风险——Firebase的安全规则、IAM权限和App Check会形成多层防护。只要正确配置这些防护措施，就无需担心恶意用户滥用前端信息发起违规操作。

内容的提问来源于stack exchange，提问作者Ilja