身份验证常见问题解答和问题排查

如何在使用手机身份验证时防止短信滥用？

为了保护您的项目免受短信流量激增和 API 滥用的影响，请按以下步骤操作：

请考虑设置短信区域政策

1. 查看您的地区性短信使用情况。

   查找发送短信数量非常多且验证短信数量非常少（或为零）的区域。已验证/发送成功率就是成功率。 健康的成功率通常在 70-85% 范围内，因为短信不是一种有保证的传送协议，而且某些区域可能存在滥用行为。成功率低于 50% 意味着发送的短信很多，但成功登录的次数很少，这是作恶方和短信流量激增的常见现象。

2. 使用短信区域政策来拒绝成功率较低的短信区域，或者如果您的应用仅打算在某些市场中分发，则仅允许某些区域。

限制已获授权的身份验证网域

使用身份验证设置信息中心管理已获授权的网域。默认情况下，系统会将 localhost 网域添加到已获批准的身份验证网域中，以简化开发。请考虑从生产项目的授权网域中移除 localhost，以防止作恶方在其 localhost 上运行代码以访问您的生产项目。

启用并强制执行 App Check

启用 App Check 可以证明请求仅来自与项目关联的应用，从而帮助您保护项目免遭 API 滥用。

如需将 App Check 与 Firebase Authentication 搭配使用，您必须升级到 Firebase Authentication with Identity Platform。

请注意，您需要在 Firebase 控制台中针对 Authentication 强制执行 App Check（请考虑在强制执行之前监控流量）。此外，请仔细检查 reCAPTCHA Enterprise 批准的网站列表，验证其是否仅包含您的生产网站，以及您在 App Check 中注册到项目的应用列表是否准确。

请注意，App Check 会断言调用来自您的某个注册应用，从而帮助您防范自动攻击。它不会阻止用户以非预期方式使用您的应用（例如，启动然后就完全不再完成登录流程来生成发送的短信）。

电话号码是否已转入电话验证支持的新运营商？

此时，在运营商之间转网的号码将导致所有短信无法送达这些最终用户。目前没有解决方法，Firebase 正在努力解决此问题。

在我的 Android 应用中，我为什么会收到以下错误：
Google sign in failed？

如果您遇到以下错误，请按照此常见问题解答中的问题排查步骤操作：

GoogleFragment: Google sign in failed
    com.google.android.gms.common.api.ApiException: 13: Unable to get token.
        at
com.google.android.gms.internal.auth-api.zbay.getSignInCredentialFromIntent(com.google.android.gms:play-services-auth@@20.3.0:6)

1. 确保已正确启用 Google 登录作为身份验证提供方：

   1. 在 Firebase 控制台中，打开 Authentication 部分。

   2. 在登录方法标签页中，停用 Google 登录方法，然后重新启用（即使已启用）：

      1. 打开 Google 登录方法，将其停用，然后点击保存。

      2. 重新打开 Google 登录方法，将其启用，然后点击保存。

2. 确保您的应用使用的是其最新的 Firebase 配置文件 (google-services.json)。
   获取应用的配置文件。

3. 检查您是否仍遇到该错误。如果是，请继续往下执行后续的问题排查步骤。

4. 确保所需的基础 OAuth 2.0 客户端已存在。

   1. 在 Google Cloud 控制台的凭据页面中，查看 OAuth 2.0 客户端 ID 部分。

   2. 如果 OAuth 2.0 客户端不存在（并且您已完成上述所有问题排查步骤），请与支持团队联系。

在 Apple 平台应用中，我为什么会收到以下错误：
You must specify <clientID> in <GIDConfiguration>？

如果您遇到以下错误，请按照此常见问题解答中的问题排查步骤操作：

You must specify |clientID| in |GIDConfiguration|

1. 确保已正确启用 Google 登录作为身份验证提供方：

   1. 在 Firebase 控制台中，打开 Authentication 部分。

   2. 在登录方法标签页中，停用 Google 登录方法，然后重新启用（即使已启用）：

      1. 打开 Google 登录方法，将其停用，然后点击保存。

      2. 重新打开 Google 登录方法，将其启用，然后点击保存。

2. 确保您的应用使用的是其最新的 Firebase 配置文件 (GoogleService-Info.plist)。
   获取应用的配置文件。

3. 检查您是否仍遇到该错误。如果是，请继续往下执行后续的问题排查步骤。

4. 确保所需的基础 OAuth 2.0 客户端已存在。

   1. 在 Google Cloud 控制台的凭据页面中，查看 OAuth 2.0 客户端 ID 部分。

   2. 如果 OAuth 2.0 客户端不存在（并且您已完成上述所有问题排查步骤），请与支持团队联系。

在我的 Web 应用中，我为什么会遇到以下错误：
AuthErrorCode.INVALID_OAUTH_CLIENT_ID？

如果您遇到以下错误，请按照此常见问题解答中的问题排查步骤操作：

AuthErrorCode.INVALID_OAUTH_CLIENT_ID

1. 确保已正确启用 Google 登录作为身份验证提供方：

   1. 在 Firebase 控制台中，打开 Authentication 部分。

   2. 在登录方法标签页中，停用 Google 登录方法，然后重新启用（即使已启用）：

      1. 打开 Google 登录方法，将其停用，然后点击保存。

      2. 重新打开 Google 登录方法，将其启用，然后点击保存。

2. 此外，在 Authentication 部分的 Google 登录提供方配置中，确保 OAuth 客户端 ID 和密钥与 Google Cloud 控制台的凭据页面中显示的 Web 客户端相匹配（请查看 OAuth 2.0 客户端 ID 部分）。

在我的 Web 应用中，为什么使用重定向登录失败并出现以下错误：
This domain YOUR_REDIRECT_DOMAIN is not authorized to run this operation？

如果您遇到以下错误，请按照此常见问题解答中的问题排查步骤操作：

This domain YOUR_REDIRECT_DOMAIN is not authorized to run this operation.

导致此错误很可能是因为重定向网域未列为 Firebase Authentication 的已获授权的网域，或者您用于 Firebase Authentication 服务的 API 密钥无效。

首先确保 YOUR_REDIRECT_DOMAIN 位于 Firebase 项目的已获授权的网域列表中。如果重定向网域已在此处列出，请继续对无效 API 密钥进行问题排查。

默认情况下，Firebase Authentication JS SDK 依赖于 Firebase 项目的 API 密钥（标记为 Browser key），并使用此密钥根据已获授权的网域列表来验证登录重定向网址是否有效。Authentication 会根据您访问 Authentication SDK 的方式获取此 API 密钥：

• 如果您使用 Hosting 提供的 Auth 帮助程序通过 Authentication JS SDK 让用户登录，则 Firebase 在您每次部署到 Firebase Hosting 时都会自动获取 API 密钥以及 Firebase 配置的其余部分。确保您的 Web 应用 firebaseConfig 中的 authDomain 已正确配置为使用该 Hosting 网站的其中一个网域。如需验证这一点，您可以访问 https://authDomain__/firebase/init.json，然后检查 projectId 是否与 firebaseConfig 中的此项匹配。

• 如果您自行托管登录代码，则可以使用 __/firebase/init.json 文件向自行托管的 Authentication JS SDK 重定向帮助程序提供 Firebase 配置。此配置文件中列出的 API 密钥和 projectId 应与您的 Web 应用 firebaseConfig 匹配。

检查以确保此 API 密钥未被删除：前往 Google Cloud 控制台中的 API 和服务 > 凭据面板，其中列出了您的项目的所有 API 密钥。

• 如果 Browser key 未被删除，请检查以下各项：

  • 确保 Firebase Authentication API 在要访问的密钥的允许 API 列表中（详细了解 API 密钥的 API 限制）。

  • 如果您自行托管登录代码，请确保 __/firebase/init.json 文件中列出的 API 密钥与 Google Cloud 控制台中的 API 密钥匹配。如有必要，请更正该文件中的密钥，然后重新部署应用。

  • 如果 Browser key 已被删除，您可以让 Firebase 为您生成新的 API 密钥：在 Firebase 控制台中，依次前往 settings > 项目设置，然后在您的应用部分中，点击您的 Web 应用。此操作会自动创建一个 API 密钥，您可以在 Web 应用的 SDK 设置和配置部分中看到该密钥。

  请注意，在 Google Cloud 控制台中，这个新的 API 密钥不会称为 Browser key；而是与您的 Firebase Web 应用的别名相同。如果您决定向这个新的 API 密钥添加 API 限制，请确保 Firebase Authentication API 位于允许的 API 列表中。

  创建新的 API 密钥后，请完成以下适用的步骤：

  • 如果您使用预留的 Hosting 网址，请将您的应用重新部署到 Firebase，以便它可以自动获取新的 API 密钥以及 Firebase 配置的其余部分。

  • 如果您自行托管登录代码，请复制新的 API 密钥并将其添加到 __/firebase/init.json 文件中，然后重新部署应用。

如何手动构建 OAuth Web 客户端？

1. 打开 Google Cloud 控制台中的凭据页面。

2. 在页面顶部，依次选择创建凭据 > OAuth 客户端 ID。

3. 如果系统提示您配置权限请求页面，请按照屏幕上的说明操作，然后执行此常见问题解答的以下步骤。

4. 创建 OAuth Web 客户端：

   1. 对于应用类型，选择 Web 应用。

   2. 对于已获授权的 JavaScript 来源，添加以下内容：

      • http://localhost
      • http://localhost:5000
      • https://PROJECT_ID.firebaseapp.com
      • https://PROJECT_ID.web.app

   3. 对于已获授权的重定向 URI，请添加以下内容：

      • https://PROJECT_ID.firebaseapp.com/__/auth/handler
      • https://PROJECT_ID.web.app/__/auth/handler

   4. 保存 OAuth 客户端。

5. 将新的 OAuth 客户端 ID 和客户端密钥复制到剪贴板。

6. 在 Firebase 控制台中，打开 Authentication 部分。

7. 在登录方法标签页中，打开 Google 登录提供方，然后粘贴您刚刚在 Google Cloud 控制台中构建和复制的 Web 服务器客户端 ID 和密钥。点击保存。

当用户使用电子邮件地址和密码注册时，如何确定可发送给用户的确认电子邮件的电子邮件模板的 %APP_NAME%？

在 2022 年 12 月之前，电子邮件模板中的 %APP_NAME% 会填充 OAuth 品牌名称，每当 Android 应用在 Firebase 项目中注册时，系统都会自动预配该名称。现在，由于 OAuth 品牌仅在启用 Google 登录功能时才预配，因此下面将介绍如何确定 %APP_NAME%：

• 如果 OAuth 品牌名称可用，则电子邮件模板中的 %APP_NAME% 将是 OAuth 品牌名称（与 2022 年 12 月之前的行为相同）。

• 如果 OAuth 品牌名称不可用，则确定电子邮件模板中 %APP_NAME% 的方式如下：

  • 对于 Web 应用，%APP_NAME% 将是默认的 Firebase Hosting 网站名称（.firebaseapp.com 和 .web.app 之前的值，通常是 Firebase 项目 ID）。

  • 对于移动应用：

    • 如果请求中包含 Android 软件包名称或 iOS 软件包 ID，则 %APP_NAME% 将（分别）是 Play 商店或 App Store 中使用的应用名称。

    • 否则，%APP_NAME% 将是默认的 Firebase Hosting 网站名称（.firebaseapp.com 和 .web.app 之前的值，通常是 Firebase 项目 ID）。

  请注意，如果默认的 Firebase Hosting 网站名称查询失败，则最终的后备方法是使用 Firebase 项目 ID 作为 %APP_NAME%。