Firebase Auth是否支持仅用邮箱无需密码和认证链接实现网站用户登录？

技术实现结论 #

可以通过Firebase Auth实现仅用邮箱登录、无需密码、无需跳转邮箱验证的需求，但你提出的所有用户共用统一固定密码的方案存在严重安全漏洞，绝对不建议使用，推荐采用官方支持的自定义令牌认证方案实现。

原有方案的核心问题

所有用户共用同一个固定密码等于完全放弃身份校验能力，攻击者只要拿到这个公共密码，就可以随意伪造任意邮箱登录你的系统，哪怕是测试项目也会留下严重的安全隐患，后续如果扩展功能很容易出现安全事故。

推荐实现方案（自定义令牌认证）

你可以通过Firebase云函数+Admin SDK的组合实现需求，流程如下：

• 前端用户输入邮箱后，调用你部署的Firebase云函数，将邮箱作为参数传递
• 云函数侧先查询该邮箱是否已经注册，未注册则直接调用Admin SDK创建对应用户
• 云函数调用Admin SDK的createCustomToken接口，生成对应用户UID的自定义登录令牌，返回给前端
• 前端拿到令牌后调用signInWithCustomToken方法直接完成登录，全程不需要用户操作邮箱，也不需要输入密码

云函数示例代码（Node.js）

const admin = require('firebase-admin');
const functions = require('firebase-functions');
admin.initializeApp();

exports.emailOnlyLogin = functions.https.onCall(async (data) => {
  const { email } = data;
  let user;
  try {
    // 尝试获取已有用户
    user = await admin.auth().getUserByEmail(email);
  } catch (error) {
    // 用户不存在则创建
    user = await admin.auth().createUser({ email });
  }
  // 生成自定义登录令牌
  const token = await admin.auth().createCustomToken(user.uid);
  return { token };
});

前端调用示例代码

import { getAuth, signInWithCustomToken } from "firebase/auth";
import { getFunctions, httpsCallable } from "firebase/functions";

const auth = getAuth();
const functions = getFunctions();
const emailOnlyLogin = httpsCallable(functions, 'emailOnlyLogin');

// 登录触发方法，参数为用户输入的邮箱
async function login(email) {
  const res = await emailOnlyLogin({ email });
  await signInWithCustomToken(auth, res.data.token);
  // 登录完成后的业务逻辑
}

如果你的测试项目完全不需要做任何权限校验，也可以在云函数侧跳过所有校验逻辑，直接生成令牌返回即可。

内容的提问来源于stack exchange，提问作者Matt