Flutter中能否用Firebase Auth插件实现非邮箱的用户名密码认证？

首先给出明确判断：完全可以实现，且不需要脱离官方firebase_auth插件单独开发原生认证逻辑，只需要基于现有插件能力做合理的流程封装即可。

为什么Firebase Auth原生不直接支持用户名密码登录 #

Firebase Auth的邮箱密码认证流程，底层是将符合格式要求的邮箱字符串作为用户的唯一身份标识。官方插件提供的createUserWithEmailAndPassword、signInWithEmailAndPassword方法，会对传入的账号字符串做强制邮箱格式校验，直接传入纯用户名会直接触发格式报错，无法完成注册或登录。

两个可直接落地的实现路径 #

路径1：伪邮箱映射（零后端逻辑，最快上线） #

这是目前最常用的轻量化实现方案，核心逻辑是把用户输入的用户名和固定的内置域名拼接，转化为符合邮箱格式的伪地址，走原生的邮箱密码认证流程：

• 注册流程：
  1. 前端做输入校验，禁止用户名中包含@符号，避免和拼接的域名产生格式冲突
  2. 将用户输入的纯用户名拼接固定后缀，比如[输入的用户名]@your-app-internal-auth.com，转化为符合格式的伪邮箱
  3. 调用官方插件的注册方法创建Firebase Auth用户
  4. 在Firestore/Realtime Database中建立单独的用户信息集合，给username字段设置唯一索引，存储用户名与对应Firebase用户UID的映射关系
• 登录流程：用户输入用户名+密码时，同样将用户名拼接为固定后缀的伪邮箱，直接调用官方插件的邮箱密码登录方法即可完成认证
• 配套配置要求：需要在Firebase Auth的规则配置中，对所有使用内置内部域名后缀注册的用户，跳过强制邮箱验证的流程，避免用户因为无法收到验证邮件被拦截。

路径2：自定义Token认证（全流程可控，无格式限制） #

如果希望完全不受邮箱格式约束，可结合Firebase Auth的自定义Token能力实现纯用户名认证：

• 整体流程：
  1. 提前在Firestore中维护用户的账号信息表，对用户名做唯一索引，密码使用加盐哈希算法存储，绝对避免明文落库
  2. 前端将用户输入的用户名、密码传递给部署在Cloud Function上的校验接口
  3. Cloud Function侧完成账密校验后，使用Firebase Admin SDK生成对应用户UID的自定义认证Token，返回给前端
  4. 前端调用官方插件的signInWithCustomToken方法传入生成的Token，即可建立完整的Firebase登录态，和其他认证方式的体验完全一致
• 方案优势：完全不需要拼接伪邮箱，用户名的格式可以自由设计，不存在域名冲突、强制邮箱验证等附带问题。

落地时需要避开的坑 #

• 不要修改官方firebase_auth插件的源码去绕开邮箱格式校验，后续插件升级会产生极高的维护成本，也容易引入安全漏洞
• 用户名的唯一性不能仅靠前端校验拦截，必须在数据库层面设置唯一索引兜底，避免高并发场景下出现重名冲突
• 自定义Token方案下的密码存储，必须使用成熟的加盐哈希算法处理，禁止明文存储用户密码

内容的提问来源于stack exchange，提问作者Jaya Prakash