基于Firebase的安卓应用未登录状态下如何实现用户密码重置，当前实现后登录失败如何解决

你现在的实现从底层逻辑上就存在根本性偏差，直接导致了修改密码后登录失败的结果：

• 你混淆了两类完全独立的存储：一类是Firebase Realtime Database里的业务数据，一类是Firebase Auth 认证系统内部加密存储的用户登录凭证，两者没有自动同步关系。你现在的代码只是把用户输入的新密码写到了数据库users节点的password字段下，但登录时走的是Firebase Auth的官方邮箱密码校验流程，Auth服务根本不会读取你数据库里存的这个值，它校验的是Auth后台为对应账号存的加密密码记录，你改数据库的操作完全不影响Auth的校验逻辑，自然会出现登录失败。
• 另外在数据库存储明文用户密码的方式本身就属于严重的安全违规，存在极高的用户信息泄露风险。

这类功能完全是成熟可行的，而且Firebase Auth 官方就提供了标准化的安全实现能力，根本不需要手动写数据库改密码的逻辑。

推荐的标准实现逻辑 #

• 基础版直接调用官方能力：用户在重置页面输入注册邮箱后，调用 FirebaseAuth.sendPasswordResetEmail() 接口，Firebase Auth 会自动向该邮箱发送带专属验证链接的重置邮件；用户点击链接完成身份验证、设置新密码后，Auth服务会自动把新的加密密码凭证更新到对应账号下，全程不需要你手动操作数据库。
• 如果一定要用自定义的重置页面（不想跳转Firebase官方默认的重置页），必须先完成邮箱所有权校验：先给用户邮箱发一次性校验码，等用户把收到的校验码填回页面、验证通过后，再调用Auth提供的密码更新接口完成密码修改；绝对不能让未登录用户输入邮箱和新密码就直接生效，否则任何人只要知道他人的注册邮箱，就能直接篡改别人的账号密码，存在极高的账号被盗风险。

• 流程时序错误：你在异步数据库写入任务还没完成回调时，就直接调用代码跳转到登录页，哪怕你存的是数据库内的密码，整个写入流程也是中断的
• 安全逻辑漏洞：当前实现完全没有校验用户对输入邮箱的所有权，等于把账号重置权限完全开放给所有人，是严重的安全隐患
• 认证逻辑脱节：你用两套独立的存储分别维护密码数据，数据库和Auth服务的密码值永远无法保持一致，必然导致登录校验失败

• 删除当前写数据库更新password字段的所有逻辑，同时移除数据库中存储明文密码的相关字段，密码的加密存储、校验完全交给Firebase Auth 处理，不需要在业务库保存这类敏感信息
• 重置密码按钮的点击逻辑替换为：
  1. 保留现有的邮箱格式校验逻辑
  2. 校验通过后调用 mAuth.sendPasswordResetEmail(email) 向用户发送重置邮件
  3. 给用户弹出“请查收邮箱完成密码重置”的提示，再跳回登录页面
• 登录流程完全沿用Firebase Auth 的标准signInWithEmailAndPassword()实现即可，Auth会自动校验正确的密码凭证，不会再出现登录失败的问题

内容的提问来源于stack exchange，提问作者Francesco Bottiglia