如何阻止未验证邮箱的用户在Firebase中完成注册？

你遇到的这个问题确实是Firebase Auth默认行为的一个痛点——createUserWithEmailAndPassword会直接创建并自动登录用户，哪怕邮箱还没验证。不过我们可以通过几个步骤来实现「必须验证邮箱才能正常使用账号」的需求，同时清理未验证的无效账号：

核心思路 #

1. 用户注册时，创建账号后立即禁用该账号，并发送验证邮件
2. 发送验证邮件失败时，直接删除刚创建的账号
3. 用户验证邮箱后登录，检查验证状态并启用账号
4. 定时清理长期未验证的账号（避免Auth列表堆积无效数据）
5. 配合数据库安全规则，彻底限制未验证用户的访问

代码修改实现 #

1. 注册逻辑优化 #

修改你当前的onComplete回调，添加禁用账号、发送验证邮件和失败删除的逻辑：

if (task.isSuccessful()) {
    FirebaseUser currentUser = mAuth.getCurrentUser();
    if (currentUser != null) {
        // 发送邮箱验证链接
        currentUser.sendEmailVerification()
            .addOnCompleteListener(verifyTask -> {
                if (verifyTask.isSuccessful()) {
                    // 验证邮件发送成功，禁用账号并登出
                    currentUser.setDisabled(true)
                        .addOnCompleteListener(disableTask -> {
                            if (disableTask.isSuccessful()) {
                                mAuth.signOut();
                                Toast.makeText(MainActivity.this, "验证邮件已发送，请查收并验证后登录", Toast.LENGTH_LONG).show();
                            } else {
                                Toast.makeText(MainActivity.this, "禁用账号失败，请联系管理员", Toast.LENGTH_LONG).show();
                            }
                        });
                } else {
                    // 验证邮件发送失败，删除已创建的账号
                    currentUser.delete()
                        .addOnCompleteListener(deleteTask -> {
                            if (deleteTask.isSuccessful()) {
                                Toast.makeText(MainActivity.this, "发送验证邮件失败，账号已自动删除", Toast.LENGTH_LONG).show();
                            } else {
                                Toast.makeText(MainActivity.this, "发送验证邮件失败，且无法删除账号：" + deleteTask.getException().getMessage(), Toast.LENGTH_LONG).show();
                            }
                        });
                }
            });
    }
} else {
    Toast.makeText(MainActivity.this, "注册失败：" + task.getException().getMessage(), Toast.LENGTH_LONG).show();
}

2. 登录时验证邮箱状态 #

用户点击验证链接后，会回到应用登录页面，此时登录后需要检查邮箱是否已验证，并启用账号：

// 假设这是你的登录逻辑回调
mAuth.signInWithEmailAndPassword(email, password)
    .addOnCompleteListener(loginTask -> {
        if (loginTask.isSuccessful()) {
            FirebaseUser user = mAuth.getCurrentUser();
            if (user != null) {
                if (user.isEmailVerified()) {
                    // 邮箱已验证，启用账号并跳转到主页面
                    user.setDisabled(false)
                        .addOnCompleteListener(enableTask -> {
                            if (enableTask.isSuccessful()) {
                                startActivity(new Intent(MainActivity.this, HomeActivity.class));
                                finish();
                            } else {
                                Toast.makeText(MainActivity.this, "启用账号失败，请重试", Toast.LENGTH_LONG).show();
                                mAuth.signOut();
                            }
                        });
                } else {
                    // 邮箱未验证，提示并登出
                    Toast.makeText(MainActivity.this, "请先验证你的邮箱", Toast.LENGTH_LONG).show();
                    mAuth.signOut();
                }
            }
        } else {
            Toast.makeText(MainActivity.this, "登录失败：" + loginTask.getException().getMessage(), Toast.LENGTH_LONG).show();
        }
    });

清理长期未验证的账号 #

如果用户一直不验证邮箱，这些无效账号会留在Firebase Auth列表里。可以用Firebase Cloud Functions定时清理：

示例Cloud Functions代码（Node.js） #

创建一个定时触发的函数，每天删除创建超过24小时且未验证的账号：

const functions = require("firebase-functions");
const admin = require("firebase-admin");
admin.initializeApp();

exports.cleanUnverifiedUsers = functions.pubsub.schedule("every 24 hours").onRun(async (context) => {
    const cutoffTime = Date.now() - 24 * 60 * 60 * 1000; // 24小时前的时间戳
    const userList = await admin.auth().listUsers();
    const deleteOperations = [];

    userList.users.forEach(user => {
        // 如果用户未验证且创建时间超过24小时
        if (!user.emailVerified && user.metadata.creationTime < cutoffTime) {
            deleteOperations.push(admin.auth().deleteUser(user.uid));
        }
    });

    await Promise.all(deleteOperations);
    functions.logger.info(`已清理 ${deleteOperations.length} 个未验证的无效账号`);
    return null;
});

数据库安全规则加固 #

即使账号被禁用，也可以通过数据库规则彻底限制未验证用户的访问，在Firebase控制台的Firestore/Realtime Database中设置规则：

Firestore规则示例 #

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      // 只允许已验证邮箱的登录用户访问
      allow read, write: if request.auth != null && request.auth.token.email_verified;
    }
  }
}

这样一套流程下来，就能完全实现「必须验证邮箱才能使用账号」的需求，同时避免无效账号堆积，也能确保未验证用户无法访问数据库。

内容的提问来源于stack exchange，提问作者Raunak Deb