如何为iOS/Android电商APP配置两个独立Firebase项目实现双登录体系？

刚好有过类似电商场景下双Firebase项目隔离的实践经验，给你梳理下具体的实现方案和注意事项：

你拆分低安全（普通业务）和高安全（支付）模块的思路非常合理——把支付这种敏感操作完全隔离到独立的Firebase项目，可以最大限度降低权限泄露、数据篡改的风险。两个项目的职责要明确划分：

• 低安全项目：负责普通用户登录/注册、商品展示、订单创建（非支付环节）、用户基础信息存储等常规业务，用你现有的Firebase密码认证即可。
• 高安全项目：仅负责支付相关操作，包括支付账号的认证、支付订单的处理、敏感支付数据的存储，这个项目的安全规则要配置得极其严格。

因为要做独立的登录体系，这里有两种可行的思路：

1. 完全独立的账号体系：普通业务和支付业务用两套完全分开的账号（可以用同一个邮箱，但密码独立）。用户在进入支付环节时，需要单独输入支付账号的密码完成登录，登录成功后才能发起支付。这种方式隔离性最强，但用户体验会稍差一点。
2. 关联账号体系：用户在普通模块登录后，通过后端生成高安全项目的自定义Token，自动完成支付模块的登录。这种方式体验更好，但需要你有自己的后端服务来做凭证转换，确保只有已验证的普通用户才能获取支付模块的登录凭证。

不管用哪种方式，都要注意：高安全项目的Firebase Auth必须开启额外的安全验证（比如强制双因素认证），并且限制登录请求只能来自你的APP（Android端验证包名和签名，iOS端验证Bundle ID）。

默认情况下，Android Studio的google-services插件只支持一个google-services.json文件，所以我们需要手动初始化两个FirebaseApp实例，步骤如下：

1. 分别下载两个Firebase项目的google-services.json，从中提取关键配置信息：project_id、client[0].client_info.mobilesdk_app_id、client[0].api_key.current_key，还有数据库URL（如果用Realtime Database或Firestore）。
2. 在APP启动时（比如Application类的onCreate方法），手动初始化两个FirebaseApp：

// 初始化普通业务的FirebaseApp
val normalFirebaseOptions = FirebaseOptions.Builder()
    .setProjectId("你的普通项目ID")
    .setApplicationId("你的普通应用ID")
    .setApiKey("你的普通API Key")
    .setDatabaseUrl("你的普通数据库URL") // 如果用到数据库的话
    .build()
Firebase.initializeApp(this, normalFirebaseOptions, "normal")

// 初始化支付业务的FirebaseApp
val paymentFirebaseOptions = FirebaseOptions.Builder()
    .setProjectId("你的支付项目ID")
    .setApplicationId("你的支付应用ID")
    .setApiKey("你的支付API Key")
    .setDatabaseUrl("你的支付数据库URL") // 如果用到数据库的话
    .build()
Firebase.initializeApp(this, paymentFirebaseOptions, "payment")

3. 使用时，通过App名称获取对应的Auth实例：

// 普通业务的Auth
val normalAuth = FirebaseAuth.getInstance(FirebaseApp.getInstance("normal"))
// 支付业务的Auth
val paymentAuth = FirebaseAuth.getInstance(FirebaseApp.getInstance("payment"))

iOS端同样不需要依赖GoogleService-Info.plist的自动配置，手动初始化两个FirebaseApp即可：

// 普通业务项目配置
guard let normalOptions = FirebaseOptions(googleAppID: "你的普通AppID", gcmSenderID: "你的普通SenderID") else {
    fatalError("Failed to initialize normal Firebase options")
}
normalOptions.apiKey = "你的普通API Key"
normalOptions.projectID = "你的普通项目ID"
normalOptions.databaseURL = "你的普通数据库URL"
FirebaseApp.configure(name: "normal", options: normalOptions)

// 支付业务项目配置
guard let paymentOptions = FirebaseOptions(googleAppID: "你的支付AppID", gcmSenderID: "你的支付SenderID") else {
    fatalError("Failed to initialize payment Firebase options")
}
paymentOptions.apiKey = "你的支付API Key"
paymentOptions.projectID = "你的支付项目ID"
paymentOptions.databaseURL = "你的支付数据库URL"
FirebaseApp.configure(name: "payment", options: paymentOptions)

使用时获取对应Auth实例：

let normalAuth = Auth.auth(app: FirebaseApp.app(name: "normal")!)
let paymentAuth = Auth.auth(app: FirebaseApp.app(name: "payment")!)

• 高安全项目的安全规则要锁死：比如Firestore的规则要设置成只有该项目的Auth用户才能读写支付相关集合，并且限制操作类型（比如只能创建支付订单，不能修改历史记录）。
• 禁止前端直接处理敏感支付数据：所有支付相关的核心逻辑（比如金额校验、订单状态更新）最好放在你的后端服务，或者高安全项目的Cloud Functions中，前端只做请求触发。
• 定期审计高安全项目的访问日志：Firebase提供了详细的Auth和数据库访问日志，定期检查可以及时发现异常登录或操作。

内容的提问来源于stack exchange，提问作者Divya Galla