Trang này được dịch bởi Cloud Translation API.

Xác minh mã thông báo nhận dạng

Nếu ứng dụng Firebase của bạn giao tiếp với một máy chủ phụ trợ tuỳ chỉnh, thì có thể bạn cần phải xác định người dùng hiện đang đăng nhập trên máy chủ đó. Để làm vậy một cách an toàn, sau khi đăng nhập thành công, hãy gửi mã thông báo mã nhận dạng của người dùng đến máy chủ của bạn bằng HTTPS. Sau đó, trên máy chủ, hãy xác minh tính toàn vẹn và xác thực của mã thông báo mã nhận dạng rồi truy xuất uid từ đó. Bạn có thể sử dụng uid được truyền theo cách này để xác định người dùng hiện đang đăng nhập trên máy chủ của mình một cách an toàn.

Trước khi bắt đầu

Để xác minh mã thông báo mã nhận dạng bằng SDK quản trị của Firebase, bạn phải có một tài khoản dịch vụ. Làm theo hướng dẫn thiết lập SDK dành cho quản trị viên để biết thêm thông tin về cách khởi chạy SDK dành cho quản trị viên bằng tài khoản dịch vụ.

Truy xuất mã nhận dạng trên ứng dụng

Khi một người dùng hoặc thiết bị đăng nhập thành công, Firebase sẽ tạo một mã thông báo mã nhận dạng tương ứng giúp nhận dạng duy nhất những người dùng hoặc thiết bị đó và cấp cho họ quyền truy cập vào một số tài nguyên, chẳng hạn như Cơ sở dữ liệu theo thời gian thực của Firebase và Cloud Storage. Bạn có thể sử dụng lại mã thông báo mã nhận dạng đó để xác định người dùng hoặc thiết bị trên máy chủ phụ trợ tuỳ chỉnh. Để truy xuất mã thông báo giá trị nhận dạng từ ứng dụng, hãy đảm bảo người dùng đã đăng nhập rồi nhận mã thông báo giá trị nhận dạng từ người dùng đã đăng nhập:

iOS trở lên

Objective-C

FIRUser *currentUser = [FIRAuth auth].currentUser;
[currentUser getIDTokenForcingRefresh:YES
                           completion:^(NSString *_Nullable idToken,
                                        NSError *_Nullable error) {
          if (error) {
            // Handle error
            return;
          }

          // Send token to your backend via HTTPS
          // ...
}];

Swift

let currentUser = FIRAuth.auth()?.currentUser
currentUser?.getIDTokenForcingRefresh(true) { idToken, error in
  if let error = error {
    // Handle error
    return;
  }

  // Send token to your backend via HTTPS
  // ...
}

Android

FirebaseUser mUser = FirebaseAuth.getInstance().getCurrentUser();
mUser.getIdToken(true)
    .addOnCompleteListener(new OnCompleteListener<GetTokenResult>() {
        public void onComplete(@NonNull Task<GetTokenResult> task) {
            if (task.isSuccessful()) {
                String idToken = task.getResult().getToken();
                // Send token to your backend via HTTPS
                // ...
            } else {
                // Handle error -> task.getException();
            }
        }
    });

Unity

Firebase.Auth.FirebaseUser user = auth.CurrentUser;
user.TokenAsync(true).ContinueWith(task => {
  if (task.IsCanceled) {
    Debug.LogError("TokenAsync was canceled.");
   return;
  }

  if (task.IsFaulted) {
    Debug.LogError("TokenAsync encountered an error: " + task.Exception);
    return;
  }

  string idToken = task.Result;

  // Send token to your backend via HTTPS
  // ...
});

C++

firebase::auth::User user = auth->current_user();
if (user.is_valid()) {
  firebase::Future<std::string> idToken = user.GetToken(true);

  // Send token to your backend via HTTPS
  // ...
}

Web

firebase.auth().currentUser.getIdToken(/* forceRefresh */ true).then(function(idToken) {
  // Send token to your backend via HTTPS
  // ...
}).catch(function(error) {
  // Handle error
});

Sau khi có mã thông báo mã nhận dạng, bạn có thể gửi JWT đó đến phần phụ trợ và xác thực mã đó bằng SDK quản trị của Firebase hoặc sử dụng thư viện JWT của bên thứ ba nếu máy chủ của bạn được viết bằng ngôn ngữ mà Firebase không hỗ trợ sẵn.

Xác minh mã thông báo mã nhận dạng bằng SDK quản trị của Firebase

SDK quản trị của Firebase có một phương thức tích hợp để xác minh và giải mã mã thông báo mã nhận dạng. Nếu mã thông báo mã nhận dạng đã cung cấp có định dạng chính xác, chưa hết hạn và được ký đúng cách, thì phương thức này sẽ trả về mã thông báo giá trị nhận dạng đã giải mã. Bạn có thể lấy uid của người dùng hoặc thiết bị từ mã thông báo đã giải mã.

Làm theo hướng dẫn thiết lập SDK dành cho quản trị viên để khởi chạy SDK dành cho quản trị viên bằng một tài khoản dịch vụ. Sau đó, hãy sử dụng phương thức verifyIdToken() để xác minh mã thông báo giá trị nhận dạng:

Node.js

// idToken comes from the client app
getAuth()
  .verifyIdToken(idToken)
  .then((decodedToken) => {
    const uid = decodedToken.uid;
    // ...
  })
  .catch((error) => {
    // Handle error
  });

Java

// idToken comes from the client app (shown above)
FirebaseToken decodedToken = FirebaseAuth.getInstance().verifyIdToken(idToken);
String uid = decodedToken.getUid();

Python

# id_token comes from the client app (shown above)

decoded_token = auth.verify_id_token(id_token)
uid = decoded_token['uid']

Tiến hành

client, err := app.Auth(ctx)
if err != nil {
	log.Fatalf("error getting Auth client: %v\n", err)
}

token, err := client.VerifyIDToken(ctx, idToken)
if err != nil {
	log.Fatalf("error verifying ID token: %v\n", err)
}

log.Printf("Verified ID token: %v\n", token)auth.go

C#

FirebaseToken decodedToken = await FirebaseAuth.DefaultInstance
    .VerifyIdTokenAsync(idToken);
string uid = decodedToken.Uid;

Quy trình xác minh mã thông báo nhận dạng yêu cầu mã dự án. SDK quản trị của Firebase cố gắng lấy mã dự án thông qua một trong các phương thức sau:

Nếu SDK được khởi chạy bằng một tuỳ chọn ứng dụng projectId tường minh, thì SDK sẽ sử dụng giá trị của tuỳ chọn đó.
Nếu SDK được khởi tạo bằng thông tin xác thực tài khoản dịch vụ, thì SDK sẽ sử dụng trường project_id của đối tượng JSON tài khoản dịch vụ.
Nếu bạn đặt biến môi trường GOOGLE_CLOUD_PROJECT, thì SDK sẽ sử dụng giá trị của biến đó làm mã dự án. Biến môi trường này áp dụng cho mã chạy trên cơ sở hạ tầng của Google, chẳng hạn như App Engine và Compute Engine.

Xác minh mã thông báo mã nhận dạng bằng thư viện JWT của bên thứ ba

Nếu phần phụ trợ của bạn bằng ngôn ngữ mà SDK quản trị của Firebase không hỗ trợ, thì bạn vẫn có thể xác minh mã thông báo mã nhận dạng. Trước tiên, hãy tìm thư viện JWT của bên thứ ba cho ngôn ngữ của bạn. Sau đó, hãy xác minh tiêu đề, tải trọng và chữ ký của mã thông báo giá trị nhận dạng.

Xác minh rằng tiêu đề của mã thông báo giá trị nhận dạng tuân thủ các quy tắc ràng buộc sau:

Xác nhận quyền sở hữu tiêu đề mã thông báo giá trị nhận dạng
`alg`	Thuật toán	`"RS256"`
`kid`	Mã khoá	Phải tương ứng với một trong các khoá công khai được nêu tại `https://www.googleapis.com/robot/v1/metadata/x509/securetoken@system.gserviceaccount.com`

Xác minh rằng tải trọng của mã thông báo mã nhận dạng tuân thủ các điều kiện ràng buộc sau:

Xác nhận tải trọng mã thông báo mã nhận dạng
`exp`	Thời gian hết hạn	Phải là thời điểm trong tương lai. Thời gian được tính bằng giây kể từ thời gian bắt đầu của hệ thống UNIX.
`iat`	Được phát hành tại thời điểm	Phải là ngày trong quá khứ. Thời gian được tính bằng giây kể từ thời gian bắt đầu của hệ thống UNIX.
`aud`	Đối tượng	Phải là mã dự án Firebase của bạn. Đây là giá trị nhận dạng riêng biệt cho dự án Firebase của bạn. Bạn có thể tìm thấy giá trị này trong URL của bảng điều khiển của dự án đó.
`iss`	Tổ chức phát hành	Phải là `"https://securetoken.google.com/<projectId>"`, trong đó `<projectId>` là cùng một mã dự án dùng cho `aud` ở trên.
`sub`	Tiêu đề	Không được là một chuỗi trống và phải là `uid` của người dùng hoặc thiết bị.
`auth_time`	Thời gian xác thực	Phải là ngày trong quá khứ. Thời điểm người dùng xác thực.

Cuối cùng, hãy đảm bảo rằng mã thông báo giá trị nhận dạng đã được ký bằng khoá riêng tư tương ứng với thông báo xác nhận quyền sở hữu kid của mã thông báo. Lấy khoá công khai từ https://www.googleapis.com/robot/v1/metadata/x509/securetoken@system.gserviceaccount.com và sử dụng thư viện JWT để xác minh chữ ký. Sử dụng giá trị của max-age trong tiêu đề Cache-Control của phản hồi từ điểm cuối đó để biết thời điểm làm mới khoá công khai.

Nếu tất cả các bước xác minh trên đều thành công, thì bạn có thể sử dụng chủ thể (sub) của mã thông báo mã nhận dạng làm uid của người dùng hoặc thiết bị tương ứng.