能否识别Firebase身份验证的安卓、iOS或Web发起端

核心结论 #

哪怕是走邮箱/密码渠道的身份验证请求，完全可以精准识别发起来源是iOS应用、安卓应用还是Web端，不存在这类渠道无法溯源的问题。

具体识别逻辑 #

• 所有通过官方Firebase Auth SDK发起的认证请求，都会自动携带对应平台的专属校验元数据，不需要你手动在业务代码里埋点获取：
  • iOS端发起的请求，会自动携带你在Firebase控制台绑定的iOS应用Bundle ID，配合苹果服务端完成应用签名校验
  • 安卓端发起的请求，会自动携带对应安卓应用的包名、签名SHA值，由Firebase服务端和控制台留存的配置做比对校验
  • Web端发起的请求，不会携带上述两类移动端专属的校验参数，和移动端请求有明确的特征区分
• 这些识别特征是Firebase Auth SDK自带的功能，你在后台的认证请求日志里，可以直接看到每一条注册、登录记录标注的来源平台标签，哪怕是通过邮箱密码渠道完成的操作也会清晰标记。

补充说明：第三方就算拿到你公开的Firebase Web配置信息，也没法伪造合法的移动端请求——因为移动端的应用签名、Bundle ID校验是服务端和对应官方开发者后台做交叉验证的，光在前端请求里手动拼参数根本过不了校验，这类违规请求在Firebase后台会直接被识别为Web来源。

针对你当前场景的实操建议 #

• 你可以在Firebase身份验证的拦截规则中，针对邮箱/密码的账号创建动作增加校验：如果检测到请求来源是未被授权的Web端，直接拦截拒绝，只允许你自己绑定的iOS、安卓应用走邮箱密码注册流程。
• 如果你本地运行的Web应用也需要使用邮箱/密码渠道，不要直接依赖平台来源判断，要给本地分发的Web版本加上专属的自定义身份校验标识，避免第三方拿着公开的Web配置直接调用API批量创建账号。
• 不需要为了防违规注册硬关闭邮箱/密码渠道，Firebase原生的平台来源识别能力已经可以挡住大部分直接调用Web API的违规操作。

内容的提问来源于stack exchange，提问作者ande