Android开发中如何通过非当前用户UID获取对应Identifier（手机号）

你查不到可直接运行的客户端方案是正常的：Firebase Auth 客户端SDK从安全设计层面就禁止直接拉取非当前登录用户的手机号等敏感隐私信息，不存在公开的客户端直连接口可以实现这个需求，所有宣称客户端能直接查询的方案要么是过时失效的，要么存在严重安全隐患。

可行实现方案 #

方案1：服务端Admin SDK查询（官方推荐合规路径） #

这是官方唯一支持的跨用户信息查询方式，全程不要把Admin SDK权限暴露给客户端：

• 首先在你的自有业务服务端集成Firebase Admin SDK，完成服务端鉴权初始化
• Android客户端拿到目标用户UID后，向自有服务端发起查询请求，携带当前登录用户的身份凭证、待查询的目标UID
• 服务端先做权限校验：确认发起请求的用户具备查看目标用户手机号的业务权限（比如是好友、同组织成员等），校验通过后再调用Admin SDK的用户查询接口拉取数据
• 服务端从返回结果中取出手机号字段，返回给Android客户端

服务端核心查询代码参考（Node.js环境）：

// 已完成Admin SDK初始化的前提下
const targetUid = "客户端传入的待查询用户UID"
const userRecord = await admin.auth().getUser(targetUid)
const associatedPhone = userRecord.phoneNumber
// 校验权限后再返回associatedPhone给请求方

安全红线：绝对不要把Firebase Admin SDK的配置密钥、初始化逻辑打包进Android客户端，APK反编译即可拿到密钥，攻击者可以直接窃取、篡改你全量用户的认证数据，属于严重的安全事故。

方案2：业务侧自行维护UID-手机号映射 #

如果不想每次查询都调用Auth服务，可以在业务层做冗余存储：

• 用户首次完成注册、绑定/更换手机号操作时，在自有业务数据库（Firestore、自建数据库均可）写入UID : 手机号的映射记录
• 给数据库配置严格的访问规则，仅允许有权限的用户读取对应映射记录
• 用户注销账号、解绑手机号时同步删除/更新对应映射，保证数据一致性
• 需要查询时直接读取业务库的映射记录即可，无需依赖Auth服务的查询接口

常见无效方案避坑 #

• 不要尝试反编译客户端SDK找未公开的查询接口，这类接口随时会被官方封禁，且请求会被安全规则拦截，无法稳定运行
• 不要为了省事放开客户端对Auth用户表的读权限，会直接导致全量用户隐私数据泄露，触发数据合规处罚

内容的提问来源于stack exchange，提问作者Ravikant