如何仅使用Firebase实现手机号OTP认证并对接Node+MongoDB技术栈？

前置模块准备 #

• 前端侧：仅引入React适配的Firebase Auth SDK，不引入Firebase数据库、存储等冗余依赖；在Firebase控制台开启手机号登录能力，配置不可见模式的reCAPTCHA，提前把项目域名加入授权列表，避免上线后出现验证码校验拦截。全程不依赖Firebase存储核心用户数据，仅借用其OTP短信发送、验证码比对能力。
• 后端侧：Node.js服务安装MongoDB驱动（如Mongoose）、Firebase Admin SDK，用于后续的token合法性校验；提前配置MongoDB用户集合的唯一索引，给手机号字段设为唯一值，防止重复写入。

注册流程实现逻辑（符合“验证通过同步MongoDB”要求） #

• 前端交互：用户输入带国家码的手机号，先初始化Firebase Auth实例，调用signInWithPhoneNumber方法触发OTP短信发送；待用户输入收到的6位OTP验证码后，调用Firebase的验证码确认接口完成本地校验。
• 校验通过后，前端将Firebase返回的合法ID Token、用户输入的手机号一并传递给自身的Node.js后端，不允许前端直接传递“OTP验证通过”的明文标识。
• 后端接收到请求后，第一时间调用Firebase Admin的verifyIdToken接口，校验三个核心项：Token是否过期、Token是否被篡改、Token内携带的手机号字段与前端传入的手机号是否完全匹配，任意一项不满足直接返回校验失败。
• Token校验通过后，后端查询MongoDB用户表，判断当前手机号是否已存在：若已存在，直接返回“该手机号已注册，请走登录流程”；若不存在，将基础用户信息（带国家码的手机号、Firebase生成的临时用户ID、注册时间、初始用户角色）写入MongoDB用户集合。
• 写入成功后，后端生成自身业务体系的访问令牌、刷新令牌返回给前端，前端后续所有业务请求仅携带自有业务令牌，不再依赖Firebase的会话状态。

登录流程实现逻辑（符合“先校验MongoDB用户存在性”要求） #

• 前端交互：用户输入待登录的手机号，不直接触发Firebase的OTP发码，先将手机号传递给Node.js后端做预校验。
• 后端接收到预校验请求后，直接查询MongoDB用户表：若未查询到对应手机号的用户记录，直接返回“该手机号未注册，请先完成注册”，流程提前终止，不触发后续OTP短信发送——既实现了要求的校验逻辑，也能避免给未注册用户无谓消耗Firebase的短信额度。
• 预校验通过后，前端再触发Firebase的OTP发码流程，待用户输入验证码完成Firebase侧校验后，将Firebase返回的ID Token传递给Node.js后端。
• 后端重复之前的Firebase Token合法性校验流程，确认Token内的手机号与预校验的手机号一致后，更新MongoDB中对应用户的最后登录时间，生成业务登录令牌返回前端，完成全流程登录。

落地关键注意事项 #

• 完全将Firebase作为OTP通道工具使用：哪怕后续手动删除Firebase后台生成的临时用户记录，也不会影响自有业务的登录逻辑，因为所有用户身份的校验根基是MongoDB内存储的用户表，而非Firebase的用户体系。
• 严格把控安全边界：绝对不能省略后端的Firebase Token校验环节，一旦由前端直接告知后端“手机号已验证”，极易被攻击者伪造请求绕过OTP校验，直接冒用任意手机号登录。
• 存储规范：MongoDB内存储的手机号统一保留带国家码的全量格式（如+8613xxxxxxxxx），避免不同国家同号段的用户出现数据冲突。
• 体验优化：前端对Firebase的reCAPTCHA环节做隐藏处理，正常用户感知不到流程存在，仅触发异常拦截时展示校验提示即可。

内容的提问来源于stack exchange，提问作者user14872626