使用电子邮件链接进行 Firebase 身份验证（Apple 平台）

借助 Firebase 身份验证，您可以通过以下方式让用户登录：向用户发送包含链接的电子邮件，用户点击链接进行登录。在此过程中，用户的电子邮件地址也会得到验证。

通过电子邮件登录的好处有很多：

  • 提供顺畅的注册和登录体验。
  • 降低在不同应用中重复使用密码的风险。即使是精心挑选的密码，如果重复使用，安全性也会受到影响。
  • 能够在验证用户身份的同时，验证用户的确是电子邮件地址的合法所有者。
  • 用户只需一个可访问的电子邮件帐号即可登录，不需要拥有电话号码或社交媒体帐号。
  • 用户可以安全地登录，而无需提供（或记住）密码。在移动设备上，输密码可能很不方便。
  • 此前使用电子邮件标识符（密码或联合登录服务）登录的现有用户可以升级为仅使用电子邮件登录。例如，用户即使忘记密码也仍可登录，无需重置密码。

准备工作

使用 Swift Package Manager 安装和管理 Firebase 依赖项。

  1. 在 Xcode 中打开您的应用项目，依次点击 File（文件）> Add Packages（添加软件包）。
  2. 出现提示时，添加 Firebase Apple 平台 SDK 代码库：
    3.   https://github.com/firebase/firebase-ios-sdk
  3. 选择 Firebase Authentication 库。
  4. 完成之后，Xcode 将会自动开始在后台解析和下载您的依赖项。

为了让用户能够通过电子邮件链接登录，您必须先为 Firebase 项目启用电子邮件地址提供方和电子邮件链接登录方法，操作步骤如下：

  1. 在 Firebase 控制台中，打开 Auth 部分。
  2. 在 Sign in method（登录方法）标签页中，启用电子邮件地址/密码提供方。请注意，必须启用电子邮件地址/密码登录才能使用电子邮件链接登录流程。
  3. 在同一部分中，启用电子邮件链接（无密码登录）登录方法。
  4. 点击保存。

如需启动身份验证流程，请向用户显示一个要求其提供电子邮件地址的界面，然后调用 sendSignInLink，请求 Firebase 向该用户的电子邮件地址发送身份验证链接。

  1. 构建 ActionCodeSettings 对象，以向 Firebase 提供有关如何构建电子邮件链接的指令。设置以下字段：

    • url：要嵌入的深层链接以及要传递的任何其他状态。您必须在 Firebase 控制台的“已获授权的网域”列表中添加链接的网域。您可以在“登录方法”标签页（“Authentication”->“登录方法”）中找到这些网域。
    • iOSBundleID 和 androidPackageName：在 Android 或 Apple 设备上打开登录链接时使用的应用。详细了解如何配置 Firebase Dynamic Links，以通过移动应用打开电子邮件操作链接。
    • handleCodeInApp：设为 true。与其他带外电子邮件操作（密码重置和电子邮件验证）不同，登录操作必须始终在应用中完成。这是因为按照预期，在流程结束时用户应该已经登录，并且他们的身份验证状态应在应用内持久保存。
    • dynamicLinkDomain：如果为项目定义了多个自定义动态链接网域，请选择在通过指定的移动应用打开链接时应使用其中哪个网域（例如 example.page.link）。如果不指定网域，系统会自动选择第一个网域。

    Swift

    let actionCodeSettings = ActionCodeSettings()
actionCodeSettings.url = URL(string: "https://www.example.com")
// The sign-in operation has to always be completed in the app.
actionCodeSettings.handleCodeInApp = true
actionCodeSettings.setIOSBundleID(Bundle.main.bundleIdentifier!)
actionCodeSettings.setAndroidPackageName("com.example.android",
                                         installIfNotAvailable: false, minimumVersion: "12")
    PasswordlessViewController.swift

    Objective-C

    FIRActionCodeSettings *actionCodeSettings = [[FIRActionCodeSettings alloc] init];
[actionCodeSettings setURL:[NSURL URLWithString:@"https://www.example.com"]];
// The sign-in operation has to always be completed in the app.
actionCodeSettings.handleCodeInApp = YES;
[actionCodeSettings setIOSBundleID:[[NSBundle mainBundle] bundleIdentifier]];
[actionCodeSettings setAndroidPackageName:@"com.example.android"
                    installIfNotAvailable:NO
                           minimumVersion:@"12"];
    PasswordlessViewController.m

    如需详细了解 ActionCodeSettings，请参阅在电子邮件操作中传递状态部分的内容。

  2. 要求用户输入电子邮件地址。

  3. 向用户的电子邮件地址发送身份验证链接，并保存用户的电子邮件地址，因为用户可能在同一设备上完成电子邮件登录。

    Swift

    Auth.auth().sendSignInLink(toEmail: email,
                           actionCodeSettings: actionCodeSettings) { error in
  // ...
    if let error = error {
      self.showMessagePrompt(error.localizedDescription)
      return
    }
    // The link was successfully sent. Inform the user.
    // Save the email locally so you don't need to ask the user for it again
    // if they open the link on the same device.
    UserDefaults.standard.set(email, forKey: "Email")
    self.showMessagePrompt("Check your email for link")
    // ...
}
    PasswordlessViewController.swift

    Objective-C

    [[FIRAuth auth] sendSignInLinkToEmail:email
                   actionCodeSettings:actionCodeSettings
                           completion:^(NSError *_Nullable error) {
  // ...
    if (error) {
      [self showMessagePrompt:error.localizedDescription];
       return;
    }
    // The link was successfully sent. Inform the user.
    // Save the email locally so you don't need to ask the user for it again
    // if they open the link on the same device.
    [NSUserDefaults.standardUserDefaults setObject:email forKey:@"Email"];
    [self showMessagePrompt:@"Check your email for link"];
    // ...
}];
    PasswordlessViewController.m

安全考量

为防止有人以非预期用户身份或在非预期设备上使用登录链接登录，Firebase Authentication 要求在完成登录流程时提供用户的电子邮件地址。要成功登录，此电子邮件地址必须与登录链接最初发送到的地址一致。

对于在发出链接请求的同一设备上打开登录链接的用户，您可以在发送登录电子邮件时将他们的电子邮件地址存储在本地，以简化登录流程。然后，使用这个地址来完成该流程。

登录完成后，用户之前未经过验证的登录机制都将被移除，且任何现有会话都将失效。例如，如果之前有人使用相同的电子邮件地址和密码创建了一个未经验证的帐号，系统会移除其密码，以防之前冒名顶替并创建了该帐号的人再次使用未验证的帐号登录。

在 Apple 移动应用中完成登录

Firebase Authentication 使用 Firebase Dynamic Links 将电子邮件链接发送到移动设备。为了通过移动应用完成登录，必须对应用进行配置，使其检测传入的应用链接，解析底层的深层链接，然后完成登录。

在发送要在移动应用中打开的链接时，Firebase Auth 会使用 Firebase Dynamic Links。如需使用此功能，您需要在 Firebase 控制台中配置 Dynamic Links。

  1. 启用 Firebase Dynamic Links：

    1. 在 Firebase 控制台中，打开 Dynamic Links 部分。

    2. 如果您尚未接受 Dynamic Links 条款，并且也未创建动态链接网域，请立即完成这些操作。

      如果您已经创建了动态链接网域，请记下此网域。动态链接网域通常采用如下格式：

      example.page.link

      配置 Apple 或 Android 应用以拦截传入链接时，您需要用到此值。

  2. 配置 Apple 应用：

    1. 如果您计划在应用中处理这些链接，则需要在 Firebase 控制台项目设置中指定软件包 ID。此外，您还需要指定 App Store ID 和 Apple Developer Team ID。
    2. 您还需要在应用功能中将电子邮件操作处理程序网域配置为关联网域。默认情况下，电子邮件操作处理程序托管在如下格式的网域上： 
      APP_ID.firebaseapp.com
    3. 如果您计划将应用分发到 iOS 8 及更低版本，则需要将软件包 ID 设置为传入网址的自定义方案。
    4. 如需了解详情，请参阅接收动态链接（Apple 平台）的说明。

在按上述说明收到链接后，验证链接确实用于电子邮件链接身份验证并完成登录。

Swift

if Auth.auth().isSignIn(withEmailLink: link) {
AppDelegate.swift

        Auth.auth().signIn(withEmail: email, link: self.link) { user, error in
          // ...
        }
PasswordlessViewController.swift

}

Objective-C

if ([[FIRAuth auth] isSignInWithEmailLink:link]) {
AppDelegate.m

    [[FIRAuth auth] signInWithEmail:email
                               link:link
                         completion:^(FIRAuthDataResult * _Nullable authResult, NSError * _Nullable error) {
      // ...
    }];
PasswordlessViewController.m

}

如需了解如何处理在 Android 应用中使用电子邮件链接进行的登录，请参阅 Android 指南。

如需了解如何处理在 Web 应用中使用电子邮件链接进行的登录，请参阅 Web 指南。

您还可以将此身份验证方法与现有用户相关联。例如，以前使用其他提供方（例如电话号码）进行身份验证的用户，可以将此登录方法添加到其现有帐号。

不同之处在于操作的后半部分：

Swift

  let credential = EmailAuthCredential.credential(withEmail:email
                                                       link:link)
  Auth.auth().currentUser?.link(with: credential) { authData, error in
    if (error) {
      // And error occurred during linking.
      return
    }
    // The provider was successfully linked.
    // The phone user can now sign in with their phone number or email.
  }

Objective-C

  FIRAuthCredential *credential =
      [FIREmailAuthProvider credentialWithEmail:email link:link];
  [FIRAuth auth].currentUser
      linkWithCredential:credential
              completion:^(FIRAuthDataResult *_Nullable result,
                           NSError *_Nullable error) {
    if (error) {
      // And error occurred during linking.
      return;
    }
    // The provider was successfully linked.
    // The phone user can now sign in with their phone number or email.
  }];

这也可以用于在执行敏感操作之前重新验证电子邮件链接用户的身份。

Swift

  let credential = EmailAuthProvider.credential(withEmail:email
                                                       link:link)
  Auth.auth().currentUser?.reauthenticate(with: credential) { authData, error in
    if (error) {
      // And error occurred during re-authentication.
      return
    }
    // The user was successfully re-authenticated.
  }

Objective-C

  FIRAuthCredential *credential =
      [FIREmailAuthCredential credentialWithEmail:email link:link];
  [FIRAuth auth].currentUser
      reauthenticateWithCredential:credential
                        completion:^(FIRAuthDataResult *_Nullable result,
                                     NSError *_Nullable error) {
    if (error) {
      // And error occurred during re-authentication
      return;
    }
    // The user was successfully re-authenticated.
  }];

但是，这个流程最后可能需要在原始用户未登录的其他设备上执行，因此可能无法完成。在这种情况下，系统可以向用户显示错误，要求他们在同一设备上打开链接。部分状态可以在链接中传递，提供有关操作类型和用户 uid 的信息。

如果您同时支持基于密码和基于链接的电子邮件登录功能，为了区分密码/链接用户的登录方法，可以使用 fetchSignInMethodsForEmail。这对于标识符优先流程（首先要求用户提供他们的电子邮件地址，然后向用户显示登录方法）非常有用：

Swift

 // After asking the user for their email.
 Auth.auth().fetchSignInMethods(forEmail: email) { signInMethods, error in
   // This returns the same array as fetchProviders(forEmail:completion:) but for email
   // provider identified by 'password' string, signInMethods would contain 2
   // different strings:
   // 'emailLink' if the user previously signed in with an email/link
   // 'password' if the user has a password.
   // A user could have both.
   if (error) {
     // Handle error case.
   }
   if (!signInMethods.contains(EmailPasswordAuthSignInMethod)) {
     // User can sign in with email/password.
   }
   if (!signInMethods.contains(EmailLinkAuthSignInMethod)) {
     // User can sign in with email/link.
   }
 }

Objective-C

 // After asking the user for their email.
 [FIRAuth auth] fetchSignInMethodsForEmail:email
                                completion:^(NSArray *_Nullable signInMethods,
                                             NSError *_Nullable error) {
   // This returns the same array as fetchProvidersForEmail but for email
   // provider identified by 'password' string, signInMethods would contain 2
   // different strings:
   // 'emailLink' if the user previously signed in with an email/link
   // 'password' if the user has a password.
   // A user could have both.
   if (error) {
     // Handle error case.
   }
   if (![signInMethods containsObject:FIREmailPasswordAuthSignInMethod]) {
     // User can sign in with email/password.
   }
   if (![signInMethods containsObject:FIREmailLinkAuthSignInMethod]) {
     // User can sign in with email/link.
   }
 }];

如上所述，电子邮件地址/密码和电子邮件/链接被认为是使用不同登录方法的相同 EmailAuthProvider（PROVIDER_ID 相同）。

后续步骤

在用户首次登录后，系统会创建一个新的用户帐号，并将其与该用户登录时使用的凭据（即用户名和密码、电话号码或者身份验证提供方信息）相关联。此新帐号存储在您的 Firebase 项目中，无论用户采用何种方式登录，您项目中的每个应用都可以使用此帐号来识别用户。

  • 在您的应用中，您可以从 User 对象获取用户的基本个人资料信息。请参阅管理用户。

  • 在您的 Firebase Realtime Database 和 Cloud Storage 安全规则中，您可以从 auth 变量获取已登录用户的唯一用户 ID，然后利用此 ID 来控制用户可以访问哪些数据。

您可以将多个身份验证提供方凭据与一个现有用户帐号关联，让用户可以使用多个身份验证提供方登录您的应用。

如需将用户退出登录，请调用 signOut:。

Swift

let firebaseAuth = Auth.auth()
do {
  try firebaseAuth.signOut()
} catch let signOutError as NSError {
  print("Error signing out: %@", signOutError)
}

Objective-C

NSError *signOutError;
BOOL status = [[FIRAuth auth] signOut:&signOutError];
if (!status) {
  NSLog(@"Error signing out: %@", signOutError);
  return;
}

您可能还需要为所有身份验证错误添加错误处理代码。请参阅处理错误。