Firebase模块化API邮箱验证状态异常：未点击验证链接却自动返回emailVerified=true

兄弟，太懂你刚切完API就踩坑的郁闷了——明明照着文档改了代码，结果验证逻辑直接“翻车”，还能随便用别人的邮箱注册，这安全感直接反向拉满。咱们一步步拆解问题：

先搞懂核心矛盾 #

你说的情况其实反常：正常来说，哪怕发送了验证邮件，只要用户没点链接，Firebase后端的emailVerified状态绝对是false，模块化API本身不会改变这个核心逻辑。问题大概率出在本地缓存和后端状态不同步，或者你代码里的细节没注意到。

可能的原因&对应的解决方案 #

1. 读取的是本地缓存的旧状态，没同步后端真实数据

模块化API的auth.currentUser会缓存用户信息，有时候发送验证邮件后，本地缓存可能没及时更新（甚至可能因为自动刷新逻辑误判状态），但后端的真实状态还是false。

解决办法很简单：发送验证邮件后，强制刷新用户信息，从后端拉取最新状态：

const auth = getAuth();
const doSendEmailVerification = async () => {
  const currentUser = auth.currentUser;
  if (!currentUser) return; // 先确保用户已登录

  // 发送验证邮件
  await sendEmailVerification(currentUser, { 
    url: "https://example-64072.web.app" 
  });

  // 关键：强制刷新用户信息，同步后端状态
  await currentUser.reload();

  // 现在再读取的emailVerified就是后端真实值了
  console.log("真实验证状态：", currentUser.emailVerified); // 应该是false
};

而且在后续的权限检查（比如路由守卫、页面渲染）时，也别直接用本地缓存的currentUser.emailVerified，最好每次都先调用reload()，或者在用户登录后立刻刷新一次。

2. 不小心在创建用户时主动设置了emailVerified=true

检查一下你创建用户的代码，有没有在createUserWithEmailAndPassword之后，额外调用了updateUser或者其他修改用户信息的方法，不小心把emailVerified设成了true？比如这种错误操作：

// 错误示例！别这么写
await createUserWithEmailAndPassword(auth, email, password);
await updateUser(auth.currentUser, { emailVerified: true }); // 这会直接绕开邮箱验证流程

如果有这种代码，赶紧删掉，这完全破坏了验证逻辑。

3. 检查Firebase控制台的验证设置

虽然概率很低，但还是去控制台看看：进入身份验证 -> 模板 -> 电子邮件验证，有没有开启针对测试邮箱的自动验证选项？如果有的话，关掉它，确保只有用户点击链接后才会触发验证。

额外提醒：安全兜底 #

哪怕解决了这个问题，也建议在后端（比如Firebase Cloud Functions）做一层兜底检查——比如用户访问需要验证的资源时，后端直接从Firebase Admin SDK获取用户的真实emailVerified状态，而不是完全依赖前端传过来的信息。毕竟前端状态是可以被篡改的，后端校验才是最后一道防线。

内容来源于stack exchange