如何通过Node.js后端实现Firebase Phone Auth 适配React Redux Toolkit前端

你的需求完全可以通过后端Firebase Admin SDK实现，不需要前端集成任何Firebase相关包，具体流程如下：

前置准备 #

后端安装Firebase Admin SDK：
npm install firebase-admin
在Firebase控制台下载服务账号密钥文件，放在后端项目中完成初始化：

const admin = require('firebase-admin');
const serviceAccount = require('./你的服务账号密钥路径.json');

admin.initializeApp({
  credential: admin.credential.cert(serviceAccount)
});

建议搭配Redis做验证码会话的临时存储，没有Redis也可以用内存存储（生产环境不推荐）。

完整实现流程 #

• 前端收集用户手机号，发送POST请求到后端/api/auth/phone/send-code接口
• 后端调用Firebase Admin SDK生成并发送验证码，将返回的会话标识存入Redis，和手机号绑定，设置15分钟过期：

app.post('/api/auth/phone/send-code', async (req, res) => {
  const { phoneNumber } = req.body;
  // 可先加频率校验，避免短信被刷
  try {
    const sessionInfo = await admin.auth().generatePhoneNumberVerificationCode(
      phoneNumber,
      { codeLength: 6 } // 自定义验证码长度，默认6位
    );
    // 存储会话信息，这里用Redis举例
    await redis.set(`verify:${phoneNumber}`, sessionInfo, { EX: 900 });
    res.json({ success: true, message: '验证码已发送' });
  } catch (e) {
    res.status(400).json({ success: false, error: e.message });
  }
});

• 前端收到后端返回的成功状态后，展示验证码输入框，用户输入验证码后将手机号+验证码一起提交到后端/api/auth/phone/verify接口
• 后端取出对应手机号的会话信息，调用Firebase Admin方法验证验证码，验证通过后生成自定义认证令牌返回给前端：

app.post('/api/auth/phone/verify', async (req, res) => {
  const { phoneNumber, code } = req.body;
  try {
    const sessionInfo = await redis.get(`verify:${phoneNumber}`);
    if (!sessionInfo) return res.status(400).json({ success: false, error: '验证码已过期' });
    // 验证验证码
    const userRecord = await admin.auth().verifyPhoneNumberVerificationCode(sessionInfo, code);
    // 生成自定义登录令牌
    const token = await admin.auth().createCustomToken(userRecord.uid);
    // 验证成功后删除Redis中存储的会话信息
    await redis.del(`verify:${phoneNumber}`);
    res.json({ success: true, token, user: { uid: userRecord.uid, phone: userRecord.phoneNumber } });
  } catch (e) {
    res.status(400).json({ success: false, error: '验证码错误' });
  }
});

• 前端拿到令牌后存入Redux Store和本地存储，后续业务请求时携带在请求头中，后端需要校验权限时直接调用admin.auth().verifyIdToken(token)即可完成身份校验。

如果后续需要脱离Firebase生态，最优实现方案如下：

• 后端对接短信服务商（国际业务选Twilio，国内业务选阿里云/腾讯云短信）
• 前端提交手机号后，后端生成6位随机验证码，存入Redis设置5-15分钟过期，调用短信服务商接口发送验证码
• 前端提交验证码后，后端和Redis存储的内容做对比，验证通过后使用jsonwebtoken库签发业务JWT令牌返回给前端
• 后续请求校验JWT的签名和有效期完成身份认证
• 必须添加的安全策略：同一手机号发送频率限制、图形验证码防刷、IP请求频次限制

内容的提问来源于stack exchange，提问作者Ramesh Kumar