Firebase邮箱登录Google账号报auth/wrong-password如何识别提供商不匹配

Firebase Auth 对未设置独立密码的联邦登录账号（比如Google注册账号），调用signInWithEmailAndPassword时统一返回auth/wrong-password是故意设计的安全策略，目的是防止恶意调用方通过接口返回差异枚举已注册邮箱、窃取账号绑定的登录方式信息，避免引发撞库、钓鱼等安全风险，因此不会直接返回标识登录提供商不匹配的专属错误码。

客户端侧完全可以通过官方提供的标准接口实现登录方式的前置判断，不需要依赖登录接口的错误返回，具体实现逻辑如下：

• 在用户输入邮箱、触发密码登录操作前，先调用fetchSignInMethodsForEmail方法，传入用户输入的邮箱地址，获取该邮箱绑定的所有登录提供商标识列表
• 对返回的提供商列表做分支判断：
  • 如果列表中包含password字段，说明该账号已开通邮箱密码登录能力，此时再调用signInWithEmailAndPassword执行登录，如果后续返回auth/wrong-password，才是真实的密码输入错误
  • 如果列表中不包含password字段，但存在google.com字段，说明该账号仅绑定了Google登录方式，可直接在前端引导用户使用Google渠道登录，无需再发起密码登录请求，从流程上避开误导性的错误返回
• 注意事项：
  • 目前Firebase新项目默认开启邮箱枚举保护，不要在用户输入邮箱的失焦等非登录提交场景随意调用fetchSignInMethodsForEmail，避免触发平台风控拦截
  • 如果用户后续给Google注册的账号手动关联了邮箱密码登录凭证，接口返回的提供商列表会同时包含google.com和password，此时两种登录方式均可正常使用，不会触发误判

不要尝试在signInWithEmailAndPassword返回auth/wrong-password之后再调用fetchSignInMethodsForEmail反查登录方式，这种实现依然会给恶意攻击者留下枚举账号的可乘之机，不符合Firebase的安全设计规范。

内容的提问来源于stack exchange，提问作者Nathan