如何基于SHA指纹限制Firebase邮箱密码登录，仅允许自有APK访问？

好问题！Firebase的邮箱/密码登录确实不像手机号登录那样默认绑定SHA指纹校验，但我们可以通过几种方式实现类似的限制，确保只有你的合法APK才能使用登录服务并访问数据库：

1. 官方推荐：使用Firebase App Check #

这是最可靠的方案，Firebase App Check会验证每个请求是否来自你的合法应用（包含APK的SHA指纹校验）。配置完成后，任何未通过验证的请求（比如来自篡改的APK、第三方调试工具）都会被Firebase服务直接拒绝，覆盖邮箱/密码登录、数据库读写等所有核心操作。

具体操作逻辑：

• 在Firebase控制台启用App Check，根据你的发布渠道选择验证提供者（比如Play Integrity适合Google Play发布的应用，SafetyNet Legacy适配旧版本应用）
• 在你的Android项目中集成App Check SDK，初始化Firebase时开启App Check验证
• 确保Firebase项目中已正确添加你的APK对应的SHA-1/SHA-256指纹（和应用签名配置完全一致）

2. 自定义云函数做登录前置校验 #

如果你需要更细粒度的控制，可以在用户发起登录前通过云函数做额外的应用合法性验证：

• 客户端在调用邮箱/密码登录接口前，先调用一个自定义云函数，将应用的签名信息（建议对SHA指纹做哈希处理后传输，避免明文泄露）发送到云端
• 云函数中预先存储你项目的合法SHA指纹列表，对比客户端传来的信息，不匹配则直接返回错误，阻止后续登录流程
• 只有校验通过的客户端，才允许执行Firebase Auth的登录操作

⚠️ 注意：客户端的签名信息存在被篡改的风险，这种方法建议作为App Check的补充手段，而非单一防御措施。

3. 强化Firebase数据库安全规则 #

即使有人绕过了登录限制，你也可以通过数据库安全规则把好最后一关：

• 在规则中要求请求必须通过App Check验证（通过request.app != null判断）
• 同时结合用户身份校验（request.auth != null），确保只有登录后的合法用户才能访问对应数据

示例规则：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if request.auth != null && request.app != null;
    }
  }
}

Firebase Auth的邮箱/密码登录核心是验证用户的账号凭证（邮箱+密码），而非应用的合法性，所以默认不会校验SHA指纹。而手机号登录强制要求SHA指纹，是因为涉及短信验证的安全机制设计。但通过上面的组合方案，我们可以给邮箱/密码登录加上应用级别的验证，达到和手机号登录类似的限制效果。

内容的提问来源于stack exchange，提问作者Sujan Stc