Android端Firebase身份验证：管理员如何删除非当前登录的其他用户账号？

客户端调用的 FirebaseAuth.getInstance().getCurrentUser().delete() 是仅支持删除当前登录用户自身账号的受限API，受Firebase Auth安全策略约束，无法直接删除其他用户。要实现管理员删除指定用户的需求，必须通过Firebase Admin SDK完成操作。

核心逻辑 #

• 客户端API仅持有当前登录用户的身份凭证，无权限操作其他账号，这是Firebase的原生安全设计，禁止尝试在客户端绕过限制（如伪造身份），否则会触发安全校验甚至封禁项目
• Firebase Admin SDK拥有项目级全局管理权限，可在服务端环境无用户凭证删除任意指定账号

服务端删除代码示例 #

初始化Firebase Admin SDK后，仅需传入待删除用户的UID即可执行删除：
FirebaseAuth.getInstance().deleteUser(targetUid);

注意：此处的FirebaseAuth是Admin SDK的服务端实例，而非Android客户端的FirebaseAuth实例，二者归属不同运行环境，API权限完全不同

必要安全约束 #

• 必须在非客户端环境部署执行该逻辑（如自托管后端、Firebase Cloud Functions），严禁在前端客户端集成Admin SDK，会暴露项目服务密钥导致严重安全风险
• 若通过前端触发删除操作，必须在服务端校验操作人的管理员身份（如校验操作人UID是否在预设管理员白名单内），防止未授权调用

内容的提问来源于stack exchange，提问作者Saad Mahboob