如何在Firebase中限制同一用户最多3台设备同时登录

嘿，这个需求很常见！Firebase Auth本身并没有内置的限制同时登录设备数的功能，但咱们可以通过结合Firestore（或者Realtime Database）和Auth的事件来实现单个账户最多3台设备登录的效果，下面是一步步的实现方案：

我们需要手动追踪每个用户的登录会话：每次用户登录时记录一个唯一的会话标识，当新登录发生时检查该用户的现有会话数量。如果已经达到3个，要么拒绝新登录，要么移除最早的会话（踢掉旧设备），同时让设备定期验证自己的会话是否有效，无效则自动登出。

1. 记录用户的登录会话信息 #

当用户登录成功后，我们要在Firestore中创建一条会话记录，包含用户ID、会话ID、创建时间、最后活跃时间（可选设备信息）。会话ID可以用Firebase生成的唯一键，确保每个设备的会话都不一样。

示例代码（JavaScript）：

// 监听用户登录状态变化
firebase.auth().onAuthStateChanged(async (user) => {
  if (user) {
    // 生成唯一会话ID
    const sessionId = firebase.firestore().collection('userSessions').doc().id;
    // 写入会话记录
    await firebase.firestore().collection('userSessions').doc(sessionId).set({
      userId: user.uid,
      createdAt: firebase.firestore.FieldValue.serverTimestamp(),
      lastActive: firebase.firestore.FieldValue.serverTimestamp(),
      // 可选：记录设备信息，方便用户后续管理
      deviceInfo: navigator.userAgent
    });
    // 把会话ID存在本地存储，后续验证和更新用
    localStorage.setItem('currentFirebaseSession', sessionId);
  }
});

2. 检查会话数量并执行限制逻辑 #

在用户登录流程中，先查询该用户的所有有效会话。如果数量已经达到3，你可以选择两种策略：

• 拒绝新登录：直接返回错误提示，不让用户在第4台设备登录
• 踢掉最早的设备：删除最早创建的会话，允许新设备登录

示例代码（踢掉最早会话的逻辑）：

async function login(email, password) {
  try {
    // 先完成Auth登录
    const userCredential = await firebase.auth().signInWithEmailAndPassword(email, password);
    const user = userCredential.user;

    // 查询该用户的所有会话，按创建时间升序排序（最早的在前）
    const sessionsSnapshot = await firebase.firestore().collection('userSessions')
      .where('userId', '==', user.uid)
      .orderBy('createdAt', 'asc')
      .get();

    const sessions = sessionsSnapshot.docs;
    // 如果会话数>=3，删除最早的那条
    if (sessions.length >= 3) {
      await sessions[0].ref.delete();
    }

    // 然后执行步骤1的会话记录逻辑（或者把步骤1的代码放在这里）
    // ...
  } catch (error) {
    console.error('登录失败:', error);
    // 如果是拒绝新登录的策略，这里可以判断后抛出"设备数量超限"的提示
    if (sessions.length >= 3) {
      alert('单个账户最多允许3台设备同时登录，请先在其他设备登出');
    }
  }
}

3. 验证会话有效性，实现自动登出 #

光记录会话还不够，需要让设备定期检查自己的会话是否存在（比如被删除了）。如果会话不存在，就强制用户登出。

示例代码：

// 检查当前会话是否有效
async function validateCurrentSession() {
  const sessionId = localStorage.getItem('currentFirebaseSession');
  if (!sessionId) {
    // 没有会话ID，直接登出
    await firebase.auth().signOut();
    return;
  }

  const sessionDoc = await firebase.firestore().collection('userSessions').doc(sessionId).get();
  if (!sessionDoc.exists) {
    // 会话已被删除，清除本地存储并登出
    localStorage.removeItem('currentFirebaseSession');
    await firebase.auth().signOut();
    alert('您的账户已在其他设备登录，当前设备已自动登出');
  }
}

// 页面加载时立即检查
window.addEventListener('load', validateCurrentSession);
// 定时检查，比如每5分钟一次，提升实时性
setInterval(validateCurrentSession, 5 * 60 * 1000);

如果想要更实时的登出效果，可以用Firestore的实时监听：

const sessionId = localStorage.getItem('currentFirebaseSession');
if (sessionId) {
  // 实时监听会话文档的变化
  firebase.firestore().collection('userSessions').doc(sessionId).onSnapshot((snapshot) => {
    if (!snapshot.exists) {
      localStorage.removeItem('currentFirebaseSession');
      firebase.auth().signOut();
      alert('您的账户已在其他设备登录，当前设备已自动登出');
    }
  });
}

4. 清理过期会话，更新活跃状态 #

为了避免会话记录无限累积，可以设置一个云函数定期清理长时间不活跃的会话（比如超过7天没有更新lastActive的）。另外，在用户操作时更新会话的lastActive，标记该设备仍在使用。

示例代码（更新活跃状态）：

function updateSessionActivity() {
  const sessionId = localStorage.getItem('currentFirebaseSession');
  if (sessionId) {
    firebase.firestore().collection('userSessions').doc(sessionId).update({
      lastActive: firebase.firestore.FieldValue.serverTimestamp()
    });
  }
}

// 监听用户交互事件，更新活跃时间
window.addEventListener('click', updateSessionActivity);
window.addEventListener('keydown', updateSessionActivity);

• Firestore安全规则：一定要设置安全规则，确保只有用户自己能访问和修改自己的会话记录，防止恶意篡改。示例规则：

  rules_version = '2';
  service cloud.firestore {
    match /databases/{database}/documents {
      match /userSessions/{sessionId} {
        allow read, update, delete: if request.auth != null && request.auth.uid == resource.data.userId;
        allow create: if request.auth != null && request.auth.uid == request.resource.data.userId;
      }
    }
  }
  

• 其他登录方式适配：如果用Google、Facebook等第三方登录，同样要在登录成功后执行会话记录的逻辑，和邮箱密码登录一致。
• 会话ID的安全性：虽然会话ID存在本地存储，但因为有Firestore的安全规则，即使被窃取，也无法修改其他用户的会话，相对安全。

内容的提问来源于stack exchange，提问作者Marcos DaSilva