Firebase邮件链接认证为何需经过邮箱操作处理页中转跳转？

你观察到的“无额外处理”只是前端可见的表层逻辑，这个中转页实际承担了多个核心的安全和兼容作用：

• 认证码前置校验：中转页会先验证链接携带的action code合法性，包括是否过期、是否已被使用、是否为当前项目签发的有效凭证，无效凭证会直接在中转页返回错误，无需你在业务侧额外开发通用异常处理逻辑。
• 防爬虫/预扫描消耗凭证：绝大多数邮箱服务会自动爬取邮件内的链接做恶意检测，如果认证链接直接指向你的业务地址，邮箱的预扫描请求就会直接消耗掉一次性的认证code，等用户实际点击时链接已经失效。中转页会区分自动扫描请求和用户真实点击行为，只有用户主动操作时才会携带code跳转到业务地址，避免凭证被提前消耗。
• 安全风控与防钓鱼：中转页会校验continueUrl是否属于你在Firebase控制台配置的授权域名列表，如果链接被篡改指向钓鱼网站，中转页会直接拦截跳转，避免用户被引导至恶意站点。同时Firebase官方域名的可信度更高，能降低认证邮件被邮箱服务商判定为垃圾邮件、链接被拦截的概率。
• 跨端兼容适配：如果你配置了多端跳转逻辑（比如同时支持Web端和移动端原生App登录），中转页会自动识别当前运行环境，是浏览器就跳Web业务地址，是移动端就尝试唤起对应的原生App，你不需要自己做复杂的环境判断逻辑。
• 通用逻辑统一收口：邮件认证的通用能力更新（比如多语言适配、老旧浏览器兼容、合规隐私提示新增等），Firebase可以直接在中转页侧统一迭代，所有使用该服务的项目不需要修改业务代码就能同步生效，降低开发者维护成本。

内容的提问来源于stack exchange，提问作者tavoyne