如何在Firebase中使用手机号和密码登录并调用内置Auth功能

你当前的Firestore数据库结构如下，优化方案可完全适配现有结构无需大幅调整：

原有方案的核心风险 #

你当前自行在Firestore中存储用户密码的方式存在极高的数据泄露风险，即使密码做了哈希处理，也远不如Firebase Auth官方托管的安全体系可靠，且自行比对密码的逻辑会额外增加数据库查询开销，也不方便做后续的权限管控。

具体优化实现步骤 #

1. 启用Firebase Auth服务 #

• 登录Firebase控制台进入Auth模块，根据你的业务需要选择登录方式：
  • 若要保留「手机号+密码」的登录交互：开启「电子邮件/密码」登录能力，登录时将用户输入的手机号拼接为虚拟邮箱格式${手机号}@你应用的自定义标识.local（仅做内部标识用，不需要真实邮箱），即可直接复用邮箱密码的所有Auth能力。
  • 若想进一步提升安全性、免去用户记密码的成本：直接开启「电话」登录能力，走手机号验证码校验的登录流程。
• 登录校验完全交由Auth官方接口处理：
  密码登录调用signInWithEmailAndPassword(虚拟邮箱, 密码)即可，验证码登录调用signInWithPhoneNumber()即可，无需自己编写Firestore查询、密码比对的逻辑，校验成功后会直接返回官方生成的用户uid，和你当前用userid作为文档名的结构完全匹配。

2. 存量用户数据迁移 #

如果已经有存量用户，可以编写一次性的迁移脚本，调用Firebase Auth的用户导入接口，把现有存储的手机号、密码批量导入到Auth体系中，迁移完成后建议直接删除Firestore users集合中存储的密码字段，彻底避免泄露风险。

3. 登录状态管理优化 #

不需要自己通过Provider手动传递userid，直接监听Auth提供的全局状态变更事件onAuthStateChanged即可：

• 应用启动时注册该监听，用户登录成功、退出、登录过期都会自动触发回调，全局任意位置都能拿到当前登录用户的uid，无需手动跨页面传递。
• 后续还可以直接搭配Firebase安全规则，通过request.auth.uid直接控制users文档的访问权限，比如配置仅用户本人可读写自己的文档，无需自己编写权限校验逻辑。

内容的提问来源于stack exchange，提问作者mbakabilal