Expo集成Firebase Authentication注册功能的安全隐患及解决方案问询

你对GCP凭证限制规则、Expo场景下Identity Toolkit API的限制生效逻辑的认知基本准确，仅补充两处细节：

• 安卓、iOS原生开发场景下，只要正确配置了应用包名、签名指纹对应的应用限制，是可以正常生效的，Expo场景下因为打包运行逻辑的特殊性，目前确实没有官方支持的应用限制适配方案
• 除了恶意注册风险外，泄露的API密钥还可能被用于调用密码重置、发送验证码等公开Auth接口，产生短信/邮件资源浪费、用户骚扰等其他危害

除了你已经列出的配额调整措施外，还有以下可落地的方案，部分方案可以完全根治该安全问题：

• 关闭公开注册权限，改用自定义注册流程
  在Firebase Authentication控制台直接关闭邮箱/密码登录的允许新用户注册开关，所有注册请求走你自行封装的Firebase云函数接口，在云函数内添加自定义校验逻辑（比如业务专属的邀请码校验、客户端动态签名校验等），校验通过后再通过Firebase Admin SDK创建用户。该模式下公开注册接口默认拒绝所有请求，即使API密钥泄露，攻击者也无法直接创建用户。
• 启用Firebase App Check
  这是Google官方推出的应用合法性校验服务，目前已有适配Expo的集成方案。配置完成后，只有你发布的合法客户端可以生成有效的App Check令牌，所有Firebase服务请求都会校验该令牌，无有效令牌的请求会被直接拒绝，即使API密钥泄露也无法调用Auth相关接口，可完全解决恶意调用问题。
• 新增用户激活校验逻辑
  给所有新注册用户默认设置「未激活」状态，只有完成业务要求的二次校验（比如手机号核验、企业邮箱校验、人工资质审核等）后才开放服务权限，即使有恶意账号注册成功也无法产生实际业务危害。
• 配置异常告警规则
  在GCP控制台为Identity Toolkit API配置配额突增、异常IP访问告警，出现异常调用时可第一时间收到通知，通过临时封禁IP、轮换API密钥等方式止损。

你提到的Firebase控制台配置的同IP注册配额限制，对安卓、iOS端完全生效，该配额是Google服务端基于请求来源IP统一统计的，和客户端运行环境无关。

内容的提问来源于stack exchange，提问作者Hessuew