基于Firebase Auth的登录权限限制方案咨询

我之前刚好碰到过完全一样的需求——用Firebase Auth搭建内部专属网站，只允许特定群体访问。你提到的白名单+安全规则思路是对的，但要注意：安全规则只能控制Firebase资源（比如Firestore、Storage）的访问，管不了用户注册/登录本身，得搭配其他手段才能实现完整的限制。下面分享几个我实测有效的方案：

1. 云函数拦截非法注册（最直接的事后拦截） #

利用Firebase Auth的onCreate触发器，当新用户注册完成后，自动检查其邮箱/UID是否在白名单里，不在的话直接删除该用户。虽然用户会短暂创建账号，但很快会被清理，配合前端提示就能解决体验问题。

示例代码（Node.js云函数）：

const functions = require("firebase-functions");
const admin = require("firebase-admin");
admin.initializeApp();

// 白名单可以存在Firestore/实时数据库里，方便动态更新
const WHITELISTED_EMAILS = ["team@company.com", "partner@example.org"];

exports.cleanNonWhitelistedUsers = functions.auth.user().onCreate(async (user) => {
  if (!WHITELISTED_EMAILS.includes(user.email)) {
    await admin.auth().deleteUser(user.uid);
    functions.logger.info(`Removed unauthorized user: ${user.email}`);
  }
});

2. 前端预验证+后端兜底（提升用户体验） #

在用户输入邮箱后，前端先做一层白名单校验（比如把白名单存在前端配置里），如果不在列表里直接提示“无访问权限”，不发起注册请求。但要注意：前端验证只是优化体验，不能作为唯一防线，因为懂技术的人可以篡改前端代码绕过，所以必须配合上面的云函数或者后端验证。

3. 自定义令牌登录（最安全的完全管控） #

完全接管登录流程，只有你的后端能生成Firebase自定义令牌，且只发给白名单内的用户。用户必须通过你的内部验证（比如企业SSO、内部系统登录）才能拿到令牌，彻底杜绝非法注册。

后端生成令牌示例： #

const admin = require("firebase-admin");
admin.initializeApp();

async function generateCustomToken(userEmail) {
  // 先从你的白名单数据源（比如数据库、配置文件）验证用户权限
  const isAllowed = await checkUserInWhitelist(userEmail);
  if (!isAllowed) {
    throw new Error("您没有访问权限");
  }

  // 生成自定义令牌，这里可以用邮箱作为UID，或者内部系统的用户ID
  const uid = userEmail.replace(/[@.]/g, "_");
  return admin.auth().createCustomToken(uid, { email: userEmail });
}

前端登录示例： #

// 先调用你的后端接口拿到自定义令牌
fetch("/api/get-custom-token", { method: "POST", body: JSON.stringify({ email: userInputEmail }) })
  .then(res => res.json())
  .then(data => {
    return firebase.auth().signInWithCustomToken(data.token);
  })
  .then(userCredential => {
    // 登录成功，跳转首页
  })
  .catch(err => {
    alert(err.message);
  });

4. 安全规则加固资源访问 #

不管用哪种登录限制方案，最后都要配上安全规则，确保即使有漏网之鱼（比如通过某种方式创建了账号），也无法访问任何网站资源。比如Firestore的规则可以这样写：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 只有白名单里的用户才能读写数据
    match /{document=**} {
      allow read, write: if request.auth != null && exists(/databases/$(database)/documents/whitelist/$(request.auth.uid));
    }
  }
}

这里把白名单存在Firestore的whitelist集合中，每个文档ID是用户的UID，这样可以动态添加/移除用户，不用修改规则。

总结 #

• 如果你只是想快速实现，用云函数拦截+安全规则的组合就够了；
• 如果追求最高安全性和可控性，推荐自定义令牌+安全规则的方案；
• 白名单本身可以存在数据库里，方便后期动态维护，不用硬编码在代码里。

内容的提问来源于stack exchange，提问作者Oscar