如何禁止用户删除Firebase Auth信息并防止其复用手机号重新注册？

针对你用手机号认证、需要封禁滥用用户的场景，我来拆解这两个技术疑问的实操方案：

1. 如何确保用户无法删除其Firebase Auth信息？ #

首先得明确：Firebase Auth默认允许用户通过客户端SDK删除自己的账号，但我们可以从两个层面限制这个操作：

• 前端层面：隐藏删除入口：如果你完全掌控应用UI，直接去掉“删除账号”的功能选项，普通用户根本没机会触发删除操作。不过懂点技术的人可能会通过调用SDK绕过，所以必须配合后端的兜底方案。
• 后端层面：监听删除并封禁手机号：用Firebase Auth的onUserDeleted云函数触发器，一旦检测到用户账号被删除，立刻把该用户的手机号存入你的封禁列表（对应第二个问题的存储方案）。这样就算用户删了账号，也没法用同一个手机号重新注册，相当于间接阻止了删除带来的滥用问题。

另外，还有个更直接的方式：如果你不需要用户删除账号的功能，完全可以不在客户端集成delete()方法的调用，从代码层面切断删除路径。

2. 如何防止用户删除Auth数据后，用同一手机号重新注册？ #

这个问题的核心是把封禁的手机号存起来，在注册前拦截，具体步骤很清晰：

• 第一步：存储封禁手机号：在Firestore或者Realtime Database里建一个banned_phones集合（或节点），当你要封禁某个用户时，把他的手机号（比如+8613xxxxxxxxx）作为文档ID或字段存进去，标记为封禁状态。
• 第二步：用预注册触发器拦截：使用Firebase Auth的beforeCreate触发器——这是账号创建前的钩子，能在注册完成前校验手机号。在触发器里检查当前要注册的手机号是否在封禁列表里，如果是，直接抛出错误阻止注册。

给你一段Node.js的云函数示例：

const functions = require("firebase-functions");
const admin = require("firebase-admin");
admin.initializeApp();

exports.blockBannedPhones = functions.auth.user().beforeCreate(async (user) => {
  const targetPhone = user.phoneNumber;
  // 检查封禁列表
  const bannedRecord = await admin.firestore()
    .collection('banned_phones')
    .doc(targetPhone)
    .get();

  if (bannedRecord.exists) {
    throw new functions.auth.HttpsError(
      "permission-denied",
      "该手机号已被封禁，无法注册"
    );
  }
});

• 额外提醒：封禁用户时，记得同时用Admin SDK把该用户的Auth账号禁用：admin.auth().updateUser(uid, { disabled: true })，这样就算用户没删账号，也没法登录应用。

最后总结下联动逻辑 #

其实两个问题是互补的：

1. 对于用户删账号的问题，前端隐藏入口+后端监听删除并自动封禁手机号，就算删了也没法重来；
2. 预注册触发器从根源拦截封禁手机号的注册请求，彻底堵死滥用用户的回归路径。

内容的提问来源于stack exchange，提问作者Hamoonist