如何在Google Firebase中实现带2FA的邮箱/密码登录功能

首先明确结论：你没有遗漏配置项，Firebase Authentication 目前原生仅支持基于短信验证码的多因素认证（MFA/2FA），暂不原生支持邮箱验证码作为2FA验证形式，邮箱类2FA需要你自行拓展实现。

原生短信2FA启用流程 #

• 前置要求：Firebase项目需升级到Blaze付费计划，这是使用原生短信MFA的硬性限制
• 配置步骤：
  1. 进入Firebase控制台→Authentication→设置→多因素认证模块，开启短信验证开关
  2. 调整现有登录逻辑，补充MFA校验流程：
     • 首次登录后引导用户完成手机号绑定、短信验证码验证，完成2FA激活
     • 后续用户输入邮箱密码验证通过后，会触发MFA挑战，Firebase自动向绑定手机号发送验证码，验证通过后才会签发合法的ID Token
• Web端核心逻辑代码示例：

import { getAuth, signInWithEmailAndPassword, getMultiFactorResolver, PhoneAuthProvider } from "firebase/auth";

const auth = getAuth();
signInWithEmailAndPassword(auth, email, password)
  .then((userCredential) => {
    // 未开启2FA的用户直接登录成功
  })
  .catch((error) => {
    if (error.code === "auth/multi-factor-auth-required") {
      // 触发MFA校验流程
      const resolver = getMultiFactorResolver(auth, error);
      const phoneOptions = {
        multiFactorHint: resolver.hints[0],
        session: resolver.session
      };
      const phoneProvider = new PhoneAuthProvider(auth);
      // 发送短信验证码，recaptchaVerifier为提前初始化的人机校验实例
      phoneProvider.verifyPhoneNumber(phoneOptions, recaptchaVerifier)
        .then((verificationId) => {
          // 存储verificationId，引导用户输入收到的短信验证码
        });
    }
  });

邮箱验证码2FA自定义实现方案 #

如果需要支持邮箱作为2FA验证渠道，可按以下逻辑自行实现：

• 为用户账号表补充字段：2FA启用状态、2FA绑定邮箱
• 调整登录流程：用户输入邮箱密码验证通过后，不直接返回登录态，生成6位随机验证码，调用Firebase邮件发送接口将验证码发送到用户绑定的2FA邮箱，同时将验证码、过期时间存入临时缓存（比如Firestore临时文档/Redis）
• 接收用户提交的验证码，和缓存内容比对，验证通过后再为用户签发合法的ID Token和Refresh Token，完成登录流程

注意事项 #

• 原生短信2FA目前仅支持用户绑定单个手机号，如需支持多验证渠道、多手机号绑定等能力，都需要自行拓展逻辑
• 自行实现邮箱2FA时需要补充风控策略，比如同一账号1分钟内最多请求3次验证码，避免接口被恶意刷取

内容的提问来源于stack exchange，提问作者HelloWorld