使用Firebase时为用户预填充全部注册字段是否存在安全隐患？

现有方案的问题 #

你当前的实现确实属于存在明显安全隐患的不良实践，相关风险如下：

• 敏感身份凭证（custom token）直接放在URL中，会被浏览器历史、代理日志、网络节点日志多处留存，且URL本身不会被HTTPS加密保护，泄露概率远高于常规的请求头/请求体传参方式。
• 任何拿到该链接的人员都可以在用户本人操作前抢先完成注册，直接冒用用户身份使用平台服务，如果平台涉及个人敏感数据操作、支付等功能，会引发严重的用户权益损失与合规风险。
• 你提到的「非用户本人访问邮箱」的情况是安全设计中必须考虑的默认场景：安全设计遵循最大风险假设原则，不能默认用户邮箱是绝对安全的私密环境，必须为邮箱被窃取、邮件被误发/转发的场景做兜底防护。

可落地的优化方案 #

• 给custom token添加短有效期：默认设置为24小时过期，过期后链接直接失效，用户点击后提示重新申请验证链接，大幅降低链接泄露后的可用时间窗口。
• 首次注册增加非公开信息校验：用户点击链接进入注册页后，不需要填写已收集的姓名、生日等信息，但需要输入只有你和用户知晓的、未在链接中暴露的信息做校验（比如手机号后6位、身份证后4位等），校验通过才允许设置密码，即便链接泄露，没有对应私密信息也无法完成注册。
• 注册成功后立即作废对应token：同一个custom token仅可完成一次注册流程，注册完成后立刻标记失效，后续无法再通过该链接进入登录/注册流程。
• 优化登录流程：取消链接跳转登录的逻辑，后续用户登录需要自行输入邮箱+密码，或使用邮箱验证码登录，避免链接长期留存带来的风险。

内容的提问来源于stack exchange，提问作者cuzureau