能否基于Firebase Authentication ID阻止指定设备访问应用？

可以实现设备封禁效果，但Firebase Authentication本身无原生的设备封禁能力，需要结合Firebase其他能力搭配自研逻辑完成，具体操作步骤如下：

• 第一步：先封禁涉事用户的认证账号
  优先在Firebase控制台的「Authentication」板块找到对应用户条目，直接选择禁用账号即可；也可以通过Admin SDK执行批量封禁操作，Node.js环境的执行代码示例为：

  admin.auth().updateUser(涉事用户UID, { disabled: true })
  

  禁用后该用户的现有ID token到期后会自动失效，也无法再通过该账号获取新的有效认证凭证。
• 第二步：提前完成设备标识的采集与关联
  你需要在客户端侧增加设备标识采集逻辑：用户首次登录/注册成功时，获取设备的唯一可识别标识（安卓、iOS均有支持卸载后不重置的系统级标识可选，采集后做本地持久化存储），将设备标识与对应用户UID绑定，存储到Firestore/Realtime Database中。
• 第三步：搭建设备封禁校验逻辑
  单独维护一个banned_devices数据库集合，所有判定为存在欺诈行为的设备标识都存入该集合。后续所有客户端发起的请求（包括注册、登录、资源访问等）都需要经过两层校验：
  1. 校验请求携带的设备标识是否在banned_devices集合中，存在则直接拒绝访问
  2. 校验用户账号状态是否正常，避免用户换号后用同一设备继续访问
• 第四步：补充拦截兜底逻辑
  可以结合Firebase自定义声明功能，给涉事用户的所有关联账号ID token增加is_banned: true的标记，在安全规则、接口逻辑中增加对该标记的校验，进一步提升拦截可靠性。

注意：不要将设备标识的修改权限开放给客户端，避免欺诈用户篡改标识绕过封禁；如果对方重置设备、篡改设备标识，单纯的设备标识拦截会失效，可以搭配用户行为特征校验做补充拦截。

内容的提问来源于stack exchange，提问作者Marwan Tragha