التحكّم في الوصول باستخدام المطالبات المخصّصة وقواعد الأمان

تتيح حزمة "مدير SDK في Firebase" تحديد سمات مخصّصة في حسابات المستخدمين. يتيح ذلك إمكانية تنفيذ استراتيجيات مختلفة للتحكّم في الوصول، بما في ذلك التحكّم في الوصول استنادًا إلى الدور، في تطبيقات Firebase. يمكن أن تمنح هذه السمات المخصّصة للمستخدمين مستويات وصول مختلفة (أدوار)، ويتم فرضها في قواعد أمان التطبيق.

يمكن تحديد أدوار المستخدمين للحالات الشائعة التالية:

• منح مستخدم امتيازات إدارية للوصول إلى البيانات والموارد
• تحديد المجموعات المختلفة التي ينتمي إليها المستخدم
• توفير إمكانية الوصول إلى مستويات متعددة:
  • التفريق بين المشتركين في الإصدار المدفوع أو غير المدفوع
  • التمييز بين المشرفين والمستخدمين العاديين
  • طلب معلّم/طالب وما إلى ذلك
• إضافة معرّف إضافي لمستخدم على سبيل المثال، يمكن لمستخدم Firebase الربط بمعرّف مستخدم مختلف في نظام آخر.

لنفترض أنّك تريد تقييد الوصول إلى عقدة قاعدة البيانات "adminContent". يمكنك إجراء ذلك من خلال البحث في قاعدة بيانات عن قائمة بالمستخدمين المشرفين. ومع ذلك، يمكنك تحقيق الهدف نفسه بكفاءة أكبر باستخدام مطالبة مستخدم مخصّصة باسم admin مع قاعدة Realtime Database التالية:

{
  "rules": {
    "adminContent": {
      ".read": "auth.token.admin === true",
      ".write": "auth.token.admin === true",
    }
  }
}

يمكن الوصول إلى مطالبات المستخدم المخصّصة من خلال الرموز المميّزة لمصادقة المستخدم. في المثال أعلاه، لن يحصل سوى المستخدمين الذين تم ضبط admin على "صحيح" في مطالبة الرمز المميّز على إذن بالقراءة/الكتابة للوصول إلى عقدة adminContent. بما أنّ رمز التعريف يحتوي على هذه الادّعاءات، ليس هناك حاجة إلى معالجة أو بحث إضافيَين للتحقّق من أذونات المشرف. بالإضافة إلى ذلك، يُعدّ الرمز المميّز للتعريف آلية موثوق بها لإرسال هذه المطالبات المخصّصة. يجب أن تتحقّق جميع عمليات الوصول المعتمَدة من صحة رمز التعريف قبل معالجة الطلب المرتبط.

تستنِد أمثلة الرموز البرمجية والحلول الموضّحة في هذه الصفحة إلى كلّ من واجهات برمجة تطبيقات Firebase Auth من جهة العميل وواجهات برمجة تطبيقات Auth من جهة الخادم التي تقدّمها حزمة SDK للمشرف.

ضبط مطالبات المستخدم المخصّصة والتحقّق منها من خلال حزمة تطوير البرامج (SDK) للمشرف

يمكن أن تحتوي المطالبات المخصّصة على بيانات حسّاسة، لذا يجب عدم ضبطها إلا من بيئة خادم مميّزة من خلال حزمة تطوير البرامج (SDK) لمشرف Firebase.

// Set admin privilege on the user corresponding to uid.

getAuth()
  .setCustomUserClaims(uid, { admin: true })
  .then(() => {
    // The new custom claims will propagate to the user's ID token the
    // next time a new one is issued.
  });

// Set admin privilege on the user corresponding to uid.
Map<String, Object> claims = new HashMap<>();
claims.put("admin", true);
FirebaseAuth.getInstance().setCustomUserClaims(uid, claims);
// The new custom claims will propagate to the user's ID token the
// next time a new one is issued.

# Set admin privilege on the user corresponding to uid.
auth.set_custom_user_claims(uid, {'admin': True})
# The new custom claims will propagate to the user's ID token the
# next time a new one is issued.

// Get an auth client from the firebase.App
client, err := app.Auth(ctx)
if err != nil {
	log.Fatalf("error getting Auth client: %v\n", err)
}

// Set admin privilege on the user corresponding to uid.
claims := map[string]interface{}{"admin": true}
err = client.SetCustomUserClaims(ctx, uid, claims)
if err != nil {
	log.Fatalf("error setting custom claims %v\n", err)
}
// The new custom claims will propagate to the user's ID token the
// next time a new one is issued.
auth.go

// Set admin privileges on the user corresponding to uid.
var claims = new Dictionary<string, object>()
{
    { "admin", true },
};
await FirebaseAuth.DefaultInstance.SetCustomUserClaimsAsync(uid, claims);
// The new custom claims will propagate to the user's ID token the
// next time a new one is issued.

يجب ألا يحتوي عنصر المطالب المخصّصة على أي أسماء مفاتيح محجوزة في OIDC أو أسماء محجوزة في Firebase. يجب ألا تتجاوز حمولة المطالب المخصّصة 1000 بايت.

يمكن لرمز تعريف يتم إرساله إلى خادم خلفية تأكيد هوية المستخدم ومستوى وصوله باستخدام "مجموعة تطوير البرامج (SDK) للمشرف" على النحو التالي:

// Verify the ID token first.
getAuth()
  .verifyIdToken(idToken)
  .then((claims) => {
    if (claims.admin === true) {
      // Allow access to requested admin resource.
    }
  });

// Verify the ID token first.
FirebaseToken decoded = FirebaseAuth.getInstance().verifyIdToken(idToken);
if (Boolean.TRUE.equals(decoded.getClaims().get("admin"))) {
  // Allow access to requested admin resource.
}

# Verify the ID token first.
claims = auth.verify_id_token(id_token)
if claims['admin'] is True:
    # Allow access to requested admin resource.
    pass

// Verify the ID token first.
token, err := client.VerifyIDToken(ctx, idToken)
if err != nil {
	log.Fatal(err)
}

claims := token.Claims
if admin, ok := claims["admin"]; ok {
	if admin.(bool) {
		//Allow access to requested admin resource.
	}
}
auth.go

// Verify the ID token first.
FirebaseToken decoded = await FirebaseAuth.DefaultInstance.VerifyIdTokenAsync(idToken);
object isAdmin;
if (decoded.Claims.TryGetValue("admin", out isAdmin))
{
    if ((bool)isAdmin)
    {
        // Allow access to requested admin resource.
    }
}

يمكنك أيضًا التحقّق من المطالب المخصّصة الحالية للمستخدم، والتي تتوفّر كأحد السمات في عنصر المستخدم:

// Lookup the user associated with the specified uid.
getAuth()
  .getUser(uid)
  .then((userRecord) => {
    // The claims can be accessed on the user record.
    console.log(userRecord.customClaims['admin']);
  });

// Lookup the user associated with the specified uid.
UserRecord user = FirebaseAuth.getInstance().getUser(uid);
System.out.println(user.getCustomClaims().get("admin"));

# Lookup the user associated with the specified uid.
user = auth.get_user(uid)
# The claims can be accessed on the user record.
print(user.custom_claims.get('admin'))

// Lookup the user associated with the specified uid.
user, err := client.GetUser(ctx, uid)
if err != nil {
	log.Fatal(err)
}
// The claims can be accessed on the user record.
if admin, ok := user.CustomClaims["admin"]; ok {
	if admin.(bool) {
		log.Println(admin)
	}
}
auth.go

// Lookup the user associated with the specified uid.
UserRecord user = await FirebaseAuth.DefaultInstance.GetUserAsync(uid);
Console.WriteLine(user.CustomClaims["admin"]);

يمكنك حذف مطالبات المستخدم المخصّصة من خلال ضبط القيمة null على customClaims.

نشر المطالب المخصّصة إلى العميل

بعد تعديل المطالبات الجديدة لمستخدم من خلال حزمة Admin SDK، يتم نشرها لمستخدم تم إثبات هويته من جهة العميل من خلال الرمز المميّز للتعريف بالطُرق التالية:

• يسجّل المستخدم الدخول أو يُعيد المصادقة بعد تعديل المطالب المخصّصة. وسيحتوي الرمز المميّز الذي تم إصداره نتيجةً لذلك على أحدث المطالبات.
• تتم إعادة تحميل رمز التعريف الخاص بجلسة مستخدم حالية بعد انتهاء صلاحية رمز قديم.
• تتم إعادة تحميل الرمز المميّز للمعرّف بشكلٍ قسري من خلال استدعاء currentUser.getIdToken(true).

الوصول إلى المطالبات المخصّصة على العميل

لا يمكن استرداد المطالب المخصّصة إلا من خلال رمز تعريف المستخدم. قد يكون الوصول إلى هذه الادّعاءات ضروريًا لتعديل واجهة مستخدم العميل استنادًا إلى دور المستخدم أو مستوى وصوله. ومع ذلك، يجب فرض الوصول إلى الخلفية دائمًا من خلال رمز تمييز IDENTITY بعد التحقّق منه وتحليل مطالباته. يجب عدم إرسال المطالب المخصّصة مباشرةً إلى الخلفية، لأنّه لا يمكن الوثوق بها خارج الرمز المميّز.

بعد نشر أحدث المطالبات في رمز تعريف المستخدم، يمكنك الحصول عليها من خلال استرداد رمز التعريف:

firebase.auth().currentUser.getIdTokenResult()
  .then((idTokenResult) => {
     // Confirm the user is an Admin.
     if (!!idTokenResult.claims.admin) {
       // Show admin UI.
       showAdminUI();
     } else {
       // Show regular user UI.
       showRegularUI();
     }
  })
  .catch((error) => {
    console.log(error);
  });

user.getIdToken(false).addOnSuccessListener(new OnSuccessListener<GetTokenResult>() {
  @Override
  public void onSuccess(GetTokenResult result) {
    boolean isAdmin = result.getClaims().get("admin");
    if (isAdmin) {
      // Show admin UI.
      showAdminUI();
    } else {
      // Show regular user UI.
      showRegularUI();
    }
  }
});

user.getIDTokenResult(completion: { (result, error) in
  guard let admin = result?.claims?["admin"] as? NSNumber else {
    // Show regular user UI.
    showRegularUI()
    return
  }
  if admin.boolValue {
    // Show admin UI.
    showAdminUI()
  } else {
    // Show regular user UI.
    showRegularUI()
  }
})

user.getIDTokenResultWithCompletion:^(FIRAuthTokenResult *result,
                                      NSError *error) {
  if (error != nil) {
    BOOL *admin = [result.claims[@"admin"] boolValue];
    if (admin) {
      // Show admin UI.
      [self showAdminUI];
    } else {
      // Show regular user UI.
      [self showRegularUI];
    }
  }
}];

أفضل الممارسات المتعلّقة بالمطالبات المخصّصة

لا تُستخدَم المطالب المخصّصة إلا لتوفير إمكانية التحكّم في الوصول. وهي غير مصمّمة لتخزين بيانات إضافية (مثل الملف الشخصي والبيانات المخصّصة الأخرى). على الرغم من أنّ ذلك قد يبدو كآلية ملائمة لإجراء ذلك، إلا أنّه يُنصح بشدة بعدم اتّباعها لأنّه يتم تخزين هذه المطالبات في رمز التعريف، وقد تتسبب في حدوث مشاكل في الأداء لأنّ جميع الطلبات التي تم إثبات صحتها تحتوي دائمًا على رمز تعريف Firebase يتوافق مع المستخدم الذي سجّل الدخول.

• استخدِم المطالبات المخصّصة لتخزين البيانات للتحكّم في وصول المستخدمين فقط. يجب تخزين جميع البيانات الأخرى بشكل منفصل من خلال قاعدة بيانات الوقت الفعلي أو مساحة تخزين أخرى على الخادم.
• تكون المطالب المخصّصة محدودة الحجم. سيؤدي إرسال حمولة مطالبات مخصّصة أكبر من 1000 بايت إلى ظهور خطأ.

الأمثلة وحالات الاستخدام

توضِّح الأمثلة التالية المطالب المخصّصة في سياق حالات استخدام معيّنة لـ Firebase.

تحديد الأدوار من خلال وظائف Firebase عند إنشاء المستخدم

في هذا المثال، يتمّ ضبط المطالبات المخصّصة على مستخدم عند إنشائه باستخدام Cloud Functions.

يمكن إضافة مطالبات مخصّصة باستخدام Cloud Functions، ونشرها على الفور باستخدام Realtime Database. لا يتمّ استدعاء الدالة إلّا عند الاشتراك باستخدام عامل تشغيل onCreate. بعد ضبط المطالبات المخصّصة، يتم نشرها في جميع الجلسات الحالية والمستقبلية. في المرة التالية التي يسجّل فيها المستخدم الدخول باستخدام بيانات اعتماده، يحتوي رمز المرور على المطالب المخصّصة.

التنفيذ من جهة العميل (JavaScript)

const provider = new firebase.auth.GoogleAuthProvider();
firebase.auth().signInWithPopup(provider)
.catch(error => {
  console.log(error);
});

let callback = null;
let metadataRef = null;
firebase.auth().onAuthStateChanged(user => {
  // Remove previous listener.
  if (callback) {
    metadataRef.off('value', callback);
  }
  // On user login add new listener.
  if (user) {
    // Check if refresh is required.
    metadataRef = firebase.database().ref('metadata/' + user.uid + '/refreshTime');
    callback = (snapshot) => {
      // Force refresh to pick up the latest custom claims changes.
      // Note this is always triggered on first call. Further optimization could be
      // added to avoid the initial trigger when the token is issued and already contains
      // the latest claims.
      user.getIdToken(true);
    };
    // Subscribe new listener to changes on that node.
    metadataRef.on('value', callback);
  }
});

منطق Cloud Functions

تتم إضافة عقدة قاعدة بيانات جديدة (metadata/($uid)} مع قراءة/كتابة مقيّدة بالمستخدم المعتمَد.

const functions = require('firebase-functions');
const { initializeApp } = require('firebase-admin/app');
const { getAuth } = require('firebase-admin/auth');
const { getDatabase } = require('firebase-admin/database');

initializeApp();

// On sign up.
exports.processSignUp = functions.auth.user().onCreate(async (user) => {
  // Check if user meets role criteria.
  if (
    user.email &&
    user.email.endsWith('@admin.example.com') &&
    user.emailVerified
  ) {
    const customClaims = {
      admin: true,
      accessLevel: 9
    };

    try {
      // Set custom user claims on this newly created user.
      await getAuth().setCustomUserClaims(user.uid, customClaims);

      // Update real-time database to notify client to force refresh.
      const metadataRef = getDatabase().ref('metadata/' + user.uid);

      // Set the refresh time to the current UTC timestamp.
      // This will be captured on the client to force a token refresh.
      await  metadataRef.set({refreshTime: new Date().getTime()});
    } catch (error) {
      console.log(error);
    }
  }
});

قواعد قاعدة البيانات

{
  "rules": {
    "metadata": {
      "$user_id": {
        // Read access only granted to the authenticated user.
        ".read": "$user_id === auth.uid",
        // Write access only via Admin SDK.
        ".write": false
      }
    }
  }
}

تحديد الأدوار من خلال طلب HTTP

يحدِّد المثال التالي مطالبات المستخدم المخصّصة لمستخدم سجّل الدخول حديثًا من خلال طلب HTTP.

التنفيذ من جهة العميل (JavaScript)

const provider = new firebase.auth.GoogleAuthProvider();
firebase.auth().signInWithPopup(provider)
.then((result) => {
  // User is signed in. Get the ID token.
  return result.user.getIdToken();
})
.then((idToken) => {
  // Pass the ID token to the server.
  $.post(
    '/setCustomClaims',
    {
      idToken: idToken
    },
    (data, status) => {
      // This is not required. You could just wait until the token is expired
      // and it proactively refreshes.
      if (status == 'success' && data) {
        const json = JSON.parse(data);
        if (json && json.status == 'success') {
          // Force token refresh. The token claims will contain the additional claims.
          firebase.auth().currentUser.getIdToken(true);
        }
      }
    });
}).catch((error) => {
  console.log(error);
});

التنفيذ في الخلفية (Admin SDK)

app.post('/setCustomClaims', async (req, res) => {
  // Get the ID token passed.
  const idToken = req.body.idToken;

  // Verify the ID token and decode its payload.
  const claims = await getAuth().verifyIdToken(idToken);

  // Verify user is eligible for additional privileges.
  if (
    typeof claims.email !== 'undefined' &&
    typeof claims.email_verified !== 'undefined' &&
    claims.email_verified &&
    claims.email.endsWith('@admin.example.com')
  ) {
    // Add custom claims for additional privileges.
    await getAuth().setCustomUserClaims(claims.sub, {
      admin: true
    });

    // Tell client to refresh token on user.
    res.end(JSON.stringify({
      status: 'success'
    }));
  } else {
    // Return nothing.
    res.end(JSON.stringify({ status: 'ineligible' }));
  }
});

ويمكن استخدام المسار نفسه عند ترقية مستوى وصول مستخدم حالي. على سبيل المثال، اشتراك مجاني يتم ترقيته إلى اشتراك مدفوع. يتم إرسال رمز تعريف العميل مع معلومات الدفع إلى خادم الخلفية من خلال طلب HTTP. عند معالجة الدفعة بنجاح، يتم ضبط المستخدم على أنّه مشترك في الإصدار المدفوع من خلال حزمة تطوير البرامج (SDK) للمشرف. يتم عرض استجابة HTTP ناجحة للملف الشخصي العميل لفرض إعادة تحميل الرمز المميّز.

تحديد الأدوار من خلال نص برمجي للخلفية

يمكن ضبط نص برمجي متكرّر (غير مفعَّل من العميل) لتنفيذه بهدف تعديل المطالبات المخصّصة للمستخدم:

getAuth()
  .getUserByEmail('user@admin.example.com')
  .then((user) => {
    // Confirm user is verified.
    if (user.emailVerified) {
      // Add custom claims for additional privileges.
      // This will be picked up by the user on token refresh or next sign in on new device.
      return getAuth().setCustomUserClaims(user.uid, {
        admin: true,
      });
    }
  })
  .catch((error) => {
    console.log(error);
  });

UserRecord user = FirebaseAuth.getInstance()
    .getUserByEmail("user@admin.example.com");
// Confirm user is verified.
if (user.isEmailVerified()) {
  Map<String, Object> claims = new HashMap<>();
  claims.put("admin", true);
  FirebaseAuth.getInstance().setCustomUserClaims(user.getUid(), claims);
}

user = auth.get_user_by_email('user@admin.example.com')
# Confirm user is verified
if user.email_verified:
    # Add custom claims for additional privileges.
    # This will be picked up by the user on token refresh or next sign in on new device.
    auth.set_custom_user_claims(user.uid, {
        'admin': True
    })

user, err := client.GetUserByEmail(ctx, "user@admin.example.com")
if err != nil {
	log.Fatal(err)
}
// Confirm user is verified
if user.EmailVerified {
	// Add custom claims for additional privileges.
	// This will be picked up by the user on token refresh or next sign in on new device.
	err := client.SetCustomUserClaims(ctx, user.UID, map[string]interface{}{"admin": true})
	if err != nil {
		log.Fatalf("error setting custom claims %v\n", err)
	}

}
auth.go

UserRecord user = await FirebaseAuth.DefaultInstance
    .GetUserByEmailAsync("user@admin.example.com");
// Confirm user is verified.
if (user.EmailVerified)
{
    var claims = new Dictionary<string, object>()
    {
        { "admin", true },
    };
    await FirebaseAuth.DefaultInstance.SetCustomUserClaimsAsync(user.Uid, claims);
}

يمكن أيضًا تعديل المطالب المخصّصة بشكل تدريجي من خلال حزمة تطوير البرامج (SDK) للمشرف:

getAuth()
  .getUserByEmail('user@admin.example.com')
  .then((user) => {
    // Add incremental custom claim without overwriting existing claims.
    const currentCustomClaims = user.customClaims;
    if (currentCustomClaims['admin']) {
      // Add level.
      currentCustomClaims['accessLevel'] = 10;
      // Add custom claims for additional privileges.
      return getAuth().setCustomUserClaims(user.uid, currentCustomClaims);
    }
  })
  .catch((error) => {
    console.log(error);
  });

UserRecord user = FirebaseAuth.getInstance()
    .getUserByEmail("user@admin.example.com");
// Add incremental custom claim without overwriting the existing claims.
Map<String, Object> currentClaims = user.getCustomClaims();
if (Boolean.TRUE.equals(currentClaims.get("admin"))) {
  // Add level.
  currentClaims.put("level", 10);
  // Add custom claims for additional privileges.
  FirebaseAuth.getInstance().setCustomUserClaims(user.getUid(), currentClaims);
}

user = auth.get_user_by_email('user@admin.example.com')
# Add incremental custom claim without overwriting existing claims.
current_custom_claims = user.custom_claims
if current_custom_claims.get('admin'):
    # Add level.
    current_custom_claims['accessLevel'] = 10
    # Add custom claims for additional privileges.
    auth.set_custom_user_claims(user.uid, current_custom_claims)

user, err := client.GetUserByEmail(ctx, "user@admin.example.com")
if err != nil {
	log.Fatal(err)
}
// Add incremental custom claim without overwriting existing claims.
currentCustomClaims := user.CustomClaims
if currentCustomClaims == nil {
	currentCustomClaims = map[string]interface{}{}
}

if _, found := currentCustomClaims["admin"]; found {
	// Add level.
	currentCustomClaims["accessLevel"] = 10
	// Add custom claims for additional privileges.
	err := client.SetCustomUserClaims(ctx, user.UID, currentCustomClaims)
	if err != nil {
		log.Fatalf("error setting custom claims %v\n", err)
	}

}
auth.go

UserRecord user = await FirebaseAuth.DefaultInstance
    .GetUserByEmailAsync("user@admin.example.com");
// Add incremental custom claims without overwriting the existing claims.
object isAdmin;
if (user.CustomClaims.TryGetValue("admin", out isAdmin) && (bool)isAdmin)
{
    var claims = user.CustomClaims.ToDictionary(kvp => kvp.Key, kvp => kvp.Value);
    // Add level.
    var level = 10;
    claims["level"] = level;
    // Add custom claims for additional privileges.
    await FirebaseAuth.DefaultInstance.SetCustomUserClaimsAsync(user.Uid, claims);
}