如何在Flutter Web应用中绕过Firebase登录，无需认证访问扫码跳转只读页面

方案1：带签名的公开访问链接 #

• 核心逻辑：移动端生成二维码时，在链接参数里附带过期时间戳、页面资源唯一标识、签名串三个核心参数，不需要携带用户身份凭证
• 实现步骤：
  1. 前后端约定签名规则：比如用SHA256(资源ID + 过期时间 + 服务端私有秘钥)生成签名串
  2. 已认证的移动端调用后端接口，传入要分享的只读页面的资源ID，后端返回带上述三个参数的短链/长链，移动端把链接生成二维码
  3. Web端拿到链接参数后，先判断当前时间是否超过过期时间，超时直接返回403；再把参数传给后端验签，验签通过直接返回页面只读数据，不需要走Firebase认证流程
• 优势：实现简单，安全性可控，可随时调整过期时间控制访问权限，不需要额外存储状态

方案2：临时访问令牌（无用户关联） #

• 核心逻辑：生成独立于Firebase用户体系的一次性/短期有效令牌，令牌仅对应指定只读页面的访问权限
• 实现步骤：
  1. 已认证的移动端发起分享请求时，后端生成一个随机的32位唯一临时token，把token和对应的资源ID、过期时间存在Redis/数据库里，设置自动过期
  2. 把token作为参数拼到Web页链接里生成二维码
  3. Web端打开链接时提取token，传给后端查询是否有效，有效则直接返回对应页面数据，跳过Firebase认证
• 优势：签名规则不用对外暴露，可随时主动作废指定token，适合需要支持人工收回访问权限的场景

方案3：Firebase匿名认证+安全规则配置 #

• 核心逻辑：Web端用户扫码后静默走Firebase匿名认证，不需要用户主动操作，通过Firebase安全规则放开对应只读资源的访问权限
• 实现步骤：
  1. 给要分享的只读资源加is_publicly_accessible、share_token标识字段
  2. 配置Firebase安全规则，允许匿名用户只要携带有效share_token即可读取对应资源，其他资源还是要求正常手机号认证
  3. 移动端生成链接时带上share_token参数，Web端打开后自动触发匿名认证（用户无感知），直接请求对应资源
• 优势：不用额外改造后端接口，完全复用Firebase现有能力，适合不想改后端逻辑的场景

• 所有只读页面必须严格限制权限，仅开放查询接口，禁止任何写入操作
• 建议给所有分享链接设置最长有效期，避免永久泄露导致数据风险
• 对于敏感数据的分享页，可额外加访问次数限制，超出限制后直接作废链接

内容的提问来源于stack exchange，提问作者flutter