Firebase手机号认证前验证用户号码是否存在的技术求助

Got it! 要实现「先校验手机号是否已在Firebase注册，再启动OTP验证」的需求，核心是借助Firebase Admin SDK的用户查询能力——因为前端没有权限直接访问用户列表，必须通过后端接口来做校验。下面是完整的实现方案：

1. 后端搭建手机号校验接口（必选） #

首先需要用Firebase Admin SDK搭建一个后端接口，用来查询指定手机号是否已存在于Firebase用户系统中。这里以Node.js + Express为例：

const admin = require('firebase-admin');
const express = require('express');
const app = express();

// 初始化Firebase Admin（确保已配置好服务账号密钥）
admin.initializeApp({
  credential: admin.credential.cert('./service-account-key.json')
});

// 解析JSON请求体
app.use(express.json());

// 手机号校验接口
app.post('/api/check-phone-exists', async (req, res) => {
  const { phoneNumber } = req.body;
  
  try {
    // 调用Admin SDK查询手机号对应的用户
    const userRecord = await admin.auth().getUserByPhoneNumber(phoneNumber);
    // 查询成功，返回存在标识和用户ID
    res.status(200).json({ exists: true, userId: userRecord.uid });
  } catch (error) {
    // 捕获「用户不存在」的特定错误
    if (error.code === 'auth/user-not-found') {
      res.status(200).json({ exists: false });
    } else {
      // 其他错误返回服务器异常
      res.status(500).json({ error: 'Internal server error' });
    }
  }
});

app.listen(3000, () => console.log('Server running on port 3000'));

2. 前端流程控制 #

前端先获取用户输入的手机号（注意格式要带国家码，比如+86138xxxxxxx），调用上述后端接口，根据返回结果决定是否启动OTP验证：

// 处理用户提交手机号的逻辑
async function onPhoneSubmit(phoneNumber) {
  // 先做前端格式校验（可选，比如检查是否带国家码）
  if (!phoneNumber.startsWith('+')) {
    alert('请输入带国家码的手机号，例如+86138xxxxxxx');
    return;
  }

  try {
    // 调用后端校验接口
    const response = await fetch('/api/check-phone-exists', {
      method: 'POST',
      headers: {
        'Content-Type': 'application/json',
      },
      body: JSON.stringify({ phoneNumber })
    });

    const result = await response.json();

    if (result.exists) {
      // 手机号已注册，启动Firebase OTP验证流程
      initiateOtpVerification(phoneNumber);
    } else {
      // 手机号未注册，提示用户
      document.getElementById('error-msg').textContent = '该手机号未注册，请先完成注册';
    }
  } catch (err) {
    console.error('校验手机号失败:', err);
    alert('校验失败，请稍后重试');
  }
}

// 启动OTP验证的函数
function initiateOtpVerification(phoneNumber) {
  // 初始化ReCAPTCHA验证（Firebase要求，防止滥用）
  const recaptchaVerifier = new firebase.auth.RecaptchaVerifier('recaptcha-container', {
    'size': 'invisible',
    'callback': (response) => {
      // 验证成功后的回调（可选）
    }
  });

  // 发送OTP验证码
  firebase.auth().signInWithPhoneNumber(phoneNumber, recaptchaVerifier)
    .then((confirmationResult) => {
      // 保存验证结果，用于后续校验OTP
      window.confirmationResult = confirmationResult;
      // 提示用户输入验证码
      document.getElementById('otp-section').style.display = 'block';
    })
    .catch((error) => {
      console.error('发送验证码失败:', error);
      alert('发送验证码失败，请检查手机号格式或稍后重试');
    });
}

关键注意事项 #

• 必须通过后端校验：绝对不能在前端直接调用Admin SDK，因为Admin需要服务账号密钥，放在前端会导致严重的安全风险（比如被恶意用户获取后篡改用户数据）。
• 手机号格式规范：Firebase的getUserByPhoneNumber方法要求手机号必须带国际国家码（如+86），前端要提前做好格式校验，避免无效请求。
• 错误码精准处理：一定要单独捕获auth/user-not-found错误，不要把其他服务器错误（比如网络问题）当成手机号未注册的情况。
• ReCAPTCHA不可省略：启动OTP验证时必须配置ReCAPTCHA，这是Firebase的安全机制，防止机器人恶意请求验证码。

内容的提问来源于stack exchange，提问作者Mohit Bhardwaj