Firebase邮箱链接认证：能否限制仅特定域名用户使用？

要限制仅xyz.com域名的邮箱能使用Firebase邮箱链接认证，需要结合客户端前置校验和后端强制拦截（后者是核心，防止恶意绕过前端逻辑），具体实现方式如下：

1. 客户端前置校验（第一道防线） #

在用户输入邮箱提交后，先在前端判断邮箱后缀是否符合要求，不符合则直接终止认证流程，避免无效请求：

function submitEmailForSignIn(email) {
  // 检查邮箱域名（统一转小写避免大小写问题）
  if (!email.trim().toLowerCase().endsWith('@xyz.com')) {
    alert('仅支持xyz.com域名的邮箱进行登录');
    return;
  }

  // 符合条件，发起Firebase邮箱链接请求
  firebase.auth().sendSignInLinkToEmail(email, {
    url: 'https://your-app.com/callback', // 你的认证回调URL
    handleCodeInApp: true
  })
  .then(() => {
    // 临时存储邮箱，用于后续链接验证
    window.localStorage.setItem('pendingSignInEmail', email);
  })
  .catch(err => {
    console.error('发送认证链接失败:', err);
  });
}

注意：客户端校验仅用于提升用户体验，不能完全依赖——恶意用户可以直接调用Firebase API绕过前端逻辑，所以必须配合后端验证。

2. 后端强制拦截（核心安全保障） #

方式一：使用Firebase Auth前置触发器 #

通过Firebase云函数的beforeCreate触发器，在用户账号即将创建时拦截不符合域名要求的邮箱：

const functions = require("firebase-functions");
const admin = require("firebase-admin");
admin.initializeApp();

exports.restrictToXyzDomain = functions.auth.user().beforeCreate((user, context) => {
  const userEmail = user.email?.toLowerCase();
  if (!userEmail?.endsWith('@xyz.com')) {
    throw new functions.auth.HttpsError(
      'invalid-argument',
      '系统仅允许xyz.com域名的邮箱注册登录'
    );
  }
});

这个触发器会在用户点击认证链接完成验证、账号即将被创建时触发，直接拦截不符合条件的请求，从根源上限制非目标域名用户。

方式二：自定义认证链接逻辑（灵活扩展） #

如果需要更复杂的验证逻辑（比如结合企业内部身份系统），可以完全自定义邮箱链接的生成和验证流程：

• 不直接调用Firebase的sendSignInLinkToEmail，而是自己生成唯一验证令牌，将令牌和用户邮箱存储到Firebase Realtime Database或Firestore中。
• 通过第三方邮件服务（或Firebase扩展）向用户发送包含验证链接的邮件。
• 用户点击链接后，后端先校验邮箱域名是否为xyz.com，验证通过后再调用Firebase的signInWithEmailLink完成认证。

额外注意事项 #

• 若已有非xyz.com域名的用户存在，可通过Firebase控制台或云函数批量清理这些账号，确保系统内仅目标域名用户能登录。
• 测试时可以使用Firebase的本地模拟器验证云函数逻辑，避免影响线上环境。

内容的提问来源于stack exchange，提问作者Ronnie Smith