如何使用Firebase实现可重复使用的用户即时登录魔法链接

Firebase没有原生支持可重复使用的无密码魔法链接的标准实现，你可以通过以下方式优化自定义认证逻辑的安全性：

核心改造原则 #

绝对禁止在Firestore或其他可被前端访问的存储介质中留存用户明文密码，所有敏感校验逻辑全部移至服务端执行。

具体改造步骤 #

• 移除原有存储用户密码的逻辑，你生成的初始密码仅在创建Firebase账号时使用一次，创建完成后无需留存任何密码副本。
• 把magic_token的生成逻辑迁移至Firebase Cloud Functions等后端服务执行：magic_token采用JWT格式生成，payload仅写入对应用户的uid，签名密钥仅在后端存储，禁止泄漏到前端。你可以根据需求将JWT的有效期设置为超长时长（如5年），或取消有效期限制。
• 在对应用户的Firestore文档中新增magic_token、is_valid两个字段：magic_token存储生成的JWT串，is_valid为布尔类型，用于手动控制单个token的生效状态，应对用户链接泄露后的封禁需求。
• 调整登录流程：用户点击链接跳转至站点后，前端将URL中的token参数传给后端校验接口，不要直接在前端查询Firestore。
• 后端校验逻辑：先验证JWT签名合法，再查询对应用户文档的is_valid字段是否为true，全部校验通过后调用Firebase Admin SDK的createCustomToken(uid)方法生成有效期1小时的官方自定义登录令牌，返回给前端。
• 前端调用signInWithCustomToken()方法，传入后端返回的短时效令牌即可完成登录。

安全兜底配置 #

• 为存储magic_token的Firestore集合配置安全规则，禁止所有前端客户端的读写权限，仅允许你的Cloud Functions服务账号访问该集合，从根源避免数据泄露。
• 新增异常检测逻辑：同一个token短时间内多次从不同IP发起登录请求时，自动将该token的is_valid字段设为false，避免链接被盗用后被长期滥用。

可选优化：如果后续需要支持部分链接可过期的需求，可在JWT的payload中增加exp过期时间字段，后端校验时同步检查时间有效性，灵活适配不同场景。

内容的提问来源于stack exchange，提问作者cuzureau