如何使用Firebase Auth创建用户并发送验证邮件且不触发自动登录？

现有代码的问题点 #

你当前编写的实现逻辑，本质上无法做到全程不触发登录流程：

• 前端调用createUserWithEmailAndPassword成功后，Firebase Auth会立刻将新创建的用户设置为当前客户端的已登录状态，哪怕后续代码立刻执行signOut()，Auth状态监听器依然会收到两次状态变更（从未登录到临时登录，再从临时登录回到未登录），完全违背了“不触发用户登录流程”的核心要求
• 代码里将Firestore写入、验证邮件发送的逻辑全部耦合在前端创建用户的回调中，临时登录态存在的时间窗口内如果触发了前端权限校验，会直接绕过预设的规则

生产环境的正确实现路径 #

要完全做到创建用户、发验证邮件的全流程不产生任何端侧登录态，必须将用户创建逻辑从客户端迁移到服务端执行，具体操作步骤：

• 在自有服务或Firebase云函数中初始化Firebase Admin SDK，服务端实例不受客户端Auth状态的权限约束
• 前端收集完用户的注册信息（邮箱、密码、昵称、头像链接）后，将整包信息传递给后端接口，不要在前端直接调用Auth的用户创建接口
• 后端收到注册请求后按顺序执行三个操作：
  1. 调用Admin SDK的auth().createUser({ email, password })接口创建用户，这个操作仅在服务端生成用户记录，不会在任何端产生登录态
  2. 调用Admin SDK的auth().generateEmailVerificationLink(email)方法生成合法的邮箱验证链接，通过自有邮件服务将链接发送到用户邮箱
  3. 直接以生成的用户UID为文档ID，在Firestore的Users集合下写入name、email、imgUri等基础用户信息
• 等用户点击邮件链接完成邮箱校验后，再走前端正常的signInWithEmailAndPassword登录流程即可

临时前端方案（仅用于非生产测试场景） #

如果暂时没有服务端能力，必须在前端完成全流程，可以通过临时屏蔽Auth状态监听的方式降低登录态触发的副作用：

1. 执行用户创建逻辑前，先解绑全局注册的Auth状态监听器
2. 依次执行用户创建、调用sendEmailVerification发验证邮件、写入Firestore用户文档的操作
3. 所有操作完成后立刻调用signOut()清除临时登录态
4. 重新绑定全局Auth状态监听器

注意：这种方式本质上还是在用户创建的瞬间产生了短时登录态，只是通过解绑监听屏蔽了状态变更的业务副作用，存在被绕过权限校验的安全风险，绝对不能用于正式生产环境

内容的提问来源于stack exchange，提问作者Osama Tab