Firebase认证：多设备共用同一账号的并发会话限制疑问

核心结论 #

Firebase Auth 没有明确限制同一用户的并发会话数量，但直接用单个邮箱/密码账号供2万活跃设备登录，会引发严重的安全、稳定性问题，完全不建议采用。

具体风险 #

• 严重安全漏洞：所有设备共享同一账号凭证，一旦凭证被逆向获取或泄露，任何攻击者都能以该账号身份完全访问你的数据库，彻底失去认证的安全意义。
• 账号锁定风险：Firebase的异常登录检测机制会识别短时间内来自大量不同IP/设备的登录请求，判定为恶意行为并锁定账号，导致所有设备无法登录，引发大规模服务中断。
• 数据追踪与隔离失效：所有设备使用同一UID，无法区分不同设备的操作行为，后续无法做用户行为分析、故障排查；若数据库依赖UID做权限隔离，所有设备将拥有相同的读写权限，极易造成数据混乱。
• 服务限流风险：Firebase的其他服务（如Firestore、Realtime Database）有请求量配额限制，同一账号发起的大量并发请求可能触发全局限流，影响所有设备的正常使用。

替代方案 #

• 优化匿名认证：在设备本地存储合规的自定义标识（如设备ID），用户重新安装或清除缓存后，通过数据库关联该标识与之前的匿名UID，实现匿名用户的复用，避免生成大量无效UID。
• 使用自定义令牌认证：基于设备标识生成自定义令牌，既满足认证需求，又能复用标识减少UID数量，同时可通过令牌规则灵活控制数据权限。

内容的提问来源于stack exchange，提问作者Luis