Xác minh mã thông báo Kiểm tra ứng dụng qua một phần phụ trợ tuỳ chỉnh

Node.js

Nếu bạn chưa cài đặt SDK quản trị Node.js, làm như vậy.

Sau đó, sử dụng phần mềm trung gian Express.js làm ví dụ:

import express from "express";
import { initializeApp } from "firebase-admin/app";
import { getAppCheck } from "firebase-admin/app-check";

const expressApp = express();
const firebaseApp = initializeApp();

const appCheckVerification = async (req, res, next) => {
    const appCheckToken = req.header("X-Firebase-AppCheck");

    if (!appCheckToken) {
        res.status(401);
        return next("Unauthorized");
    }

    try {
        const appCheckClaims = await getAppCheck().verifyToken(appCheckToken);

        // If verifyToken() succeeds, continue with the next middleware
        // function in the stack.
        return next();
    } catch (err) {
        res.status(401);
        return next("Unauthorized");
    }
}

expressApp.get("/yourApiEndpoint", [appCheckVerification], (req, res) => {
    // Handle request.
});

Python

Nếu bạn chưa cài đặt SDK quản trị viên Python, làm như vậy.

Sau đó, trong trình xử lý thiết bị đầu cuối API, hãy gọi app_check.verify_token() và từ chối yêu cầu nếu yêu cầu đó không thành công. Trong ví dụ sau, một hàm được trang trí bằng @before_request sẽ thực hiện tác vụ này cho tất cả yêu cầu:

import firebase_admin
from firebase_admin import app_check
import flask
import jwt

firebase_app = firebase_admin.initialize_app()
flask_app = flask.Flask(__name__)

@flask_app.before_request
def verify_app_check() -> None:
    app_check_token = flask.request.headers.get("X-Firebase-AppCheck", default="")
    try:
        app_check_claims = app_check.verify_token(app_check_token)
        # If verify_token() succeeds, okay to continue to route handler.
    except (ValueError, jwt.exceptions.DecodeError):
        flask.abort(401)

@flask_app.route("/yourApiEndpoint")
def your_api_endpoint(request: flask.Request):
    # Handle request.
    ...

Tiến hành

Nếu bạn chưa cài đặt SDK dành cho quản trị viên cho Go, làm như vậy.

Sau đó, trong trình xử lý thiết bị đầu cuối API, hãy gọi appcheck.Client.VerifyToken() và từ chối yêu cầu nếu không thành công. Trong ví dụ sau, một trình bao bọc sẽ thêm logic này vào trình xử lý điểm cuối:

package main

import (
    "context"
    "log"
    "net/http"

    firebaseAdmin "firebase.google.com/go/v4"
    "firebase.google.com/go/v4/appcheck"
)

var (
    appCheck *appcheck.Client
)

func main() {
    app, err := firebaseAdmin.NewApp(context.Background(), nil)
    if err != nil {
        log.Fatalf("error initializing app: %v\n", err)
    }

    appCheck, err = app.AppCheck(context.Background())
    if err != nil {
        log.Fatalf("error initializing app: %v\n", err)
    }

    http.HandleFunc("/yourApiEndpoint", requireAppCheck(yourApiEndpointHandler))
    log.Fatal(http.ListenAndServe(":8080", nil))
}

func requireAppCheck(handler func(http.ResponseWriter, *http.Request)) func(http.ResponseWriter, *http.Request) {
    wrappedHandler := func(w http.ResponseWriter, r *http.Request) {
        appCheckToken, ok := r.Header[http.CanonicalHeaderKey("X-Firebase-AppCheck")]
        if !ok {
            w.WriteHeader(http.StatusUnauthorized)
            w.Write([]byte("Unauthorized."))
            return
        }

        _, err := appCheck.VerifyToken(appCheckToken[0])
        if err != nil {
            w.WriteHeader(http.StatusUnauthorized)
            w.Write([]byte("Unauthorized."))
            return
        }

        // If VerifyToken() succeeds, continue with the provided handler.
        handler(w, r)
    }
    return wrappedHandler
}

func yourApiEndpointHandler(w http.ResponseWriter, r *http.Request) {
    // Handle request.
}

Khác

Nếu chương trình phụ trợ của bạn được viết bằng ngôn ngữ khác, bạn có thể sử dụng thư viện JWT đa năng, chẳng hạn như thư viện JWT có tại jwt.io để xác minh mã thông báo Kiểm tra ứng dụng.

Logic xác minh mã thông báo của bạn phải hoàn tất các bước sau:

1. Lấy Bộ khoá web JSON công khai của tính năng Kiểm tra ứng dụng Firebase (JWK) từ Ứng dụng Kiểm tra điểm cuối JWKS: https://firebaseappcheck.googleapis.com/v1/jwks
2. Xác minh chữ ký của mã thông báo Kiểm tra ứng dụng để đảm bảo chữ ký là hợp lệ.
3. Đảm bảo rằng tiêu đề của mã thông báo sử dụng thuật toán RS256.
4. Đảm bảo rằng tiêu đề của mã thông báo có loại JWT.
5. Đảm bảo rằng mã thông báo do tính năng Kiểm tra ứng dụng Firebase cấp theo dự án.
6. Đảm bảo rằng mã thông báo chưa hết hạn.
7. Đảm bảo rằng đối tượng của mã thông báo khớp với dự án của bạn.
8. Không bắt buộc: Kiểm tra để đảm bảo rằng tiêu đề của mã thông báo khớp với Mã ứng dụng của ứng dụng.

Khả năng của thư viện JWT có thể khác nhau; hãy nhớ hoàn thành theo cách thủ công bất kỳ bước nào không do thư viện mà bạn chọn xử lý.

Ví dụ sau đây thực hiện các bước cần thiết trong Ruby bằng cách sử dụng jwt dưới dạng lớp phần mềm trung gian trong Rack.

require 'json'
require 'jwt'
require 'net/http'
require 'uri'

class AppCheckVerification
def initialize(app, options = {})
    @app = app
    @project_number = options[:project_number]
end

def call(env)
    app_id = verify(env['HTTP_X_FIREBASE_APPCHECK'])
    return [401, { 'Content-Type' => 'text/plain' }, ['Unauthenticated']] unless app_id
    env['firebase.app'] = app_id
    @app.call(env)
end

def verify(token)
    return unless token

    # 1. Obtain the Firebase App Check Public Keys
    # Note: It is not recommended to hard code these keys as they rotate,
    # but you should cache them for up to 6 hours.
    uri = URI('https://firebaseappcheck.googleapis.com/v1/jwks')
    jwks = JSON(Net::HTTP.get(uri))

    # 2. Verify the signature on the App Check token
    payload, header = JWT.decode(token, nil, true, jwks: jwks, algorithms: 'RS256')

    # 3. Ensure the token's header uses the algorithm RS256
    return unless header['alg'] == 'RS256'

    # 4. Ensure the token's header has type JWT
    return unless header['typ'] == 'JWT'

    # 5. Ensure the token is issued by App Check
    return unless payload['iss'] == "https://firebaseappcheck.googleapis.com/#{@project_number}"

    # 6. Ensure the token is not expired
    return unless payload['exp'] > Time.new.to_i

    # 7. Ensure the token's audience matches your project
    return unless payload['aud'].include? "projects/#{@project_number}"

    # 8. The token's subject will be the app ID, you may optionally filter against
    # an allow list
    payload['sub']
rescue
end
end

class Application
def call(env)
    [200, { 'Content-Type' => 'text/plain' }, ["Hello app #{env['firebase.app']}"]]
end
end

use AppCheckVerification, project_number: 1234567890
run Application.new