Melakukan Autentikasi dengan Firebase Menggunakan Link Email di JavaScript

Anda dapat menggunakan Firebase Authentication untuk membuat pengguna login dengan mengirimkan email yang berisi link, yang dapat mereka klik untuk login. Dalam prosesnya, alamat email pengguna juga akan diverifikasi.

Ada banyak manfaat login dengan email:

  • Proses pendaftaran dan login lebih lancar.
  • Risiko penggunaan ulang sandi pada banyak aplikasi lebih rendah. Penggunaan sandi yang sama dapat mengurangi keamanan, sekalipun sandi sudah dipilih dengan baik.
  • Dapat mengautentikasi pengguna, sekaligus memverifkasi bahwa pengguna adalah pemilik sah alamat email.
  • Pengguna hanya memerlukan akun email yang dapat diakses untuk login. Tidak diperlukan kepemilikan akun media sosial atau nomor telepon.
  • Pengguna dapat login dengan aman tanpa perlu memasukkan (atau mengingat) sandi, yang bisa merepotkan pada perangkat seluler.
  • Pengguna yang sudah ada dan sebelumnya login dengan ID email (sandi atau penyedia identitas gabungan) dapat di-upgrade untuk login dengan email saja. Misalnya, pengguna yang lupa sandi masih dapat login tanpa perlu menyetel ulang sandinya.

Sebelum memulai

Jika Anda belum melakukannya, salin cuplikan inisialisasi dari Firebase console ke project Anda seperti yang dijelaskan di artikel Menambahkan Firebase ke project JavaScript Anda.

Untuk membuat pengguna login melalui link email, pertama-tama Anda harus mengaktifkan metode login dengan Link email dan Penyedia email untuk project Firebase Anda:

  1. Di Firebase console, buka bagian Auth.
  2. Pada tab Metode login, aktifkan penyedia Email/Sandi. Perlu diketahui bahwa login dengan email/sandi harus diaktifkan untuk menggunakan metode login dengan link email.
  3. Di bagian yang sama, aktifkan metode login dengan Link email (login tanpa sandi).
  4. Klik Simpan.

Untuk memulai proses autentikasi, tampilkan antarmuka yang akan meminta pengguna memasukkan alamat email, lalu panggil sendSignInLinkToEmail untuk meminta Firebase agar mengirimkan link autentikasi ke email pengguna.

  1. Buat objek ActionCodeSettings yang akan memberi Firebase petunjuk cara membuat link email. Tetapkan kolom berikut:

    • url: Deep link yang akan disematkan dan semua status tambahan yang akan diteruskan. Domain link harus diizinkan dalam daftar Firebase Console domain resmi, yang dapat ditemukan dengan membuka tab Metode login (Authentication -> Metode login).
    • android dan ios: Aplikasi yang akan digunakan saat link login dibuka di perangkat Android atau iOS. Pelajari lebih lanjut tentang cara mengonfigurasi Firebase Dynamic Links untuk membuka link tindakan email melalui aplikasi seluler.
    • handleCodeInApp: Tetapkan ke true. Operasi login harus selalu diselesaikan di aplikasi, tidak seperti tindakan email out of band yang lain (penyetelan ulang sandi dan verifikasi email). Hal ini karena, di akhir proses, pengguna diharapkan untuk login dan status autentikasinya tetap tersimpan di dalam aplikasi.
    • dynamicLinkDomain: Ketika beberapa domain link dinamis kustom ditetapkan untuk sebuah project, tentukan domain yang akan digunakan jika link akan dibuka melalui aplikasi seluler tertentu (misalnya, example.page.link). Jika tidak, domain pertama akan otomatis dipilih.
    
    var actionCodeSettings = {
      // URL you want to redirect back to. The domain (www.example.com) for this
      // URL must be whitelisted in the Firebase Console.
      url: 'https://www.example.com/finishSignUp?cartId=1234',
      // This must be true.
      handleCodeInApp: true,
      iOS: {
        bundleId: 'com.example.ios'
      },
      android: {
        packageName: 'com.example.android',
        installApp: true,
        minimumVersion: '12'
      },
      dynamicLinkDomain: 'example.page.link'
    };
    

    Untuk mempelajari ActionCodeSettings lebih lanjut, baca bagian Meneruskan Status dalam Tindakan Email.

  2. Minta pengguna memberikan alamat emailnya.

  3. Kirim link autentikasi ke email pengguna, dan simpan email tersebut sebagai jaga-jaga jika pengguna menyelesaikan proses login dengan email pada perangkat yang sama.

    
    firebase.auth().sendSignInLinkToEmail(email, actionCodeSettings)
      .then(function() {
        // The link was successfully sent. Inform the user.
        // Save the email locally so you don't need to ask the user for it again
        // if they open the link on the same device.
        window.localStorage.setItem('emailForSignIn', email);
      })
      .catch(function(error) {
        // Some error occurred, you can inspect the code: error.code
      });
    

Masalah keamanan

Guna mencegah link login digunakan untuk login sebagai pengguna yang tidak diinginkan atau pada perangkat yang tidak diinginkan, Firebase Auth mengharuskan pengguna untuk memasukkan alamat emailnya saat menyelesaikan proses login. Agar proses login berhasil, alamat email ini harus sama dengan alamat yang awalnya dikirimi link login.

Anda dapat menyederhanakan proses ini untuk pengguna yang membuka link login di perangkat yang sama dengan yang digunakan untuk meminta link, dengan menyimpan alamat emailnya secara lokal - misalnya menggunakan localStorage atau cookie - saat Anda mengirimkan email login. Kemudian, gunakan alamat ini untuk menyelesaikan proses. Jangan teruskan dan gunakan kembali alamat email pengguna dalam parameter URL alihan karena tindakan ini dapat mengaktifkan injeksi sesi.

Setelah proses login selesai, semua mekanisme login yang sebelumnya tidak diverifikasi akan dihapus dari pengguna dan semua sesi yang ada menjadi tidak valid. Misalnya, jika seseorang sebelumnya membuat akun yang tidak diverifikasi dengan email dan sandi yang sama, maka sandi pengguna tersebut akan dihapus. Dengan begitu, peniru identitas yang mengklaim kepemilikan dan membuat akun yang tidak diverifikasi tersebut tidak akan dapat login lagi dengan email dan sandi yang tidak diverifikasi.

Selain itu, pastikan Anda menggunakan URL HTTPS agar link tidak dihalangi oleh server perantara.

Menyelesaikan proses login di halaman web

Format deep link untuk link email sama dengan format yang digunakan untuk tindakan email out of band (verifikasi email, penyetelan ulang sandi, dan pembatalan perubahan email). Firebase Auth menyederhanakan pemeriksaan ini dengan menyediakan isSignInWithEmailLink API yang akan memeriksa apakah sebuah link adalah link login dengan email, atau bukan.

Untuk menyelesaikan proses login di halaman landing, panggil signInWithEmailLink dengan email pengguna dan link email sebenarnya yang berisi kode sekali pakai.


// Confirm the link is a sign-in with email link.
if (firebase.auth().isSignInWithEmailLink(window.location.href)) {
  // Additional state parameters can also be passed via URL.
  // This can be used to continue the user's intended action before triggering
  // the sign-in operation.
  // Get the email if available. This should be available if the user completes
  // the flow on the same device where they started it.
  var email = window.localStorage.getItem('emailForSignIn');
  if (!email) {
    // User opened the link on a different device. To prevent session fixation
    // attacks, ask the user to provide the associated email again. For example:
    email = window.prompt('Please provide your email for confirmation');
  }
  // The client SDK will parse the code from the link for you.
  firebase.auth().signInWithEmailLink(email, window.location.href)
    .then(function(result) {
      // Clear email from storage.
      window.localStorage.removeItem('emailForSignIn');
      // You can access the new user via result.user
      // Additional user info profile not available via:
      // result.additionalUserInfo.profile == null
      // You can check if the user is new or existing:
      // result.additionalUserInfo.isNewUser
    })
    .catch(function(error) {
      // Some error occurred, you can inspect the code: error.code
      // Common errors could be invalid email and invalid or expired OTPs.
    });
}

Menyelesaikan proses login di aplikasi seluler

Firebase Authentication menggunakan Firebase Dynamic Links untuk mengirim link email ke perangkat seluler. Untuk menyelesaikan proses login melalui aplikasi seluler, aplikasi harus dikonfigurasi untuk mendeteksi link aplikasi masuk, mengurai deep link yang mendasari, lalu menyelesaikan proses login seperti yang dilakukan melalui alur web.

Untuk mempelajari lebih lanjut tentang cara menangani proses login dengan link email pada aplikasi Android, lihat Panduan Android.

Untuk mempelajari lebih lanjut tentang cara menangani proses login dengan link email pada aplikasi iOS, lihat Panduan iOS.

Anda juga dapat menautkan metode autentikasi ini ke pengguna yang sudah ada. Misalnya, pengguna yang sebelumnya diautentikasi dengan penyedia lain, seperti nomor telepon, dapat menambahkan metode login ini ke akunnya yang sudah ada.

Perbedaannya terletak pada paruh kedua operasi:


// Construct the email link credential from the current URL.
var credential = firebase.auth.EmailAuthProvider.credentialWithLink(
    email, window.location.href);

// Link the credential to the current user.
firebase.auth().currentUser.linkAndRetrieveDataWithCredential(credential)
  .then(function(usercred) {
    // The provider is now successfully linked.
    // The phone user can now sign in with their phone number or email.
  })
  .catch(function(error) {
    // Some error occurred.
  });

Metode ini juga dapat digunakan untuk mengautentikasi ulang pengguna link email sebelum menjalankan operasi yang sensitif.


// Construct the email link credential from the current URL.
var credential = firebase.auth.EmailAuthProvider.credentialWithLink(
    email, window.location.href);

// Re-authenticate the user with this credential.
firebase.auth().currentUser.reauthenticateAndRetrieveDataWithCredential(credential)
  .then(function(usercred) {
    // The user is now successfully re-authenticated and can execute sensitive
    // operations.
  })
  .catch(function(error) {
    // Some error occurred.
  });

Namun, karena proses ini dapat berakhir di perangkat berbeda yang tidak digunakan pengguna awal untuk login, proses ini mungkin tidak akan diselesaikan. Dalam hal ini, pesan error dapat ditampilkan kepada pengguna yang mengharuskan mereka membuka link di perangkat yang sama. Beberapa status dapat diteruskan di link untuk memberikan informasi tentang jenis operasi dan UID pengguna.

Jika Anda mendukung metode login dengan link email dan juga sandi email, gunakan fetchSignInMethodsForEmail untuk membedakan metode login bagi pengguna sandi/link. Cara ini berguna dalam proses ID-dahulu, yakni ketika pengguna diminta memasukkan emailnya dahulu, baru ditunjukkan metode login:

// After asking the user for their email.
var email = window.prompt('Please provide your email');
firebase.auth().fetchSignInMethodsForEmail(email)
  .then(function(signInMethods) {
    // This returns the same array as fetchProvidersForEmail but for email
    // provider identified by 'password' string, signInMethods would contain 2
    // different strings:
    // 'emailLink' if the user previously signed in with an email/link
    // 'password' if the user has a password.
    // A user could have both.
    if (signInMethods.indexOf(
            firebase.auth.EmailAuthProvider.EMAIL_PASSWORD_SIGN_IN_METHOD) != -1) {
      // User can sign in with email/password.
    }
     if (signInMethods.indexOf(
             firebase.auth.EmailAuthProvider.EMAIL_LINK_SIGN_IN_METHOD) != -1) {
       // User can sign in with email/link.
    }
  })
  .catch(function(error) {
    // Some error occurred, you can inspect the code: error.code
  });
}

Seperti dijelaskan di atas, email/sandi dan email/link dianggap sebagai firebase.auth.EmailAuthProvider yang sama (PROVIDER_ID yang sama) dengan metode login yang berbeda.

Langkah berikutnya

Setelah pengguna login untuk pertama kalinya, akun pengguna baru akan dibuat dan dihubungkan ke kredensial—yaitu, nama pengguna dan sandi, nomor telepon, atau informasi penyedia autentikasi—yang digunakan pengguna tersebut untuk login. Akun baru ini disimpan sebagai bagian dari project Firebase Anda, dan dapat digunakan untuk mengidentifikasi pengguna di setiap aplikasi dalam project Anda, terlepas dari cara pengguna login.

  • Di aplikasi Anda, cara yang direkomendasikan untuk mengetahui status autentikasi pengguna Anda adalah dengan menyetel observer pada objek Auth. Lalu Anda dapat memperoleh informasi profil dasar pengguna dari objek User. Lihat Mengelola Pengguna.

  • Dalam Aturan Keamanan Firebase Realtime Database dan Cloud Storage, Anda dapat memperoleh ID unik milik pengguna yang login dari variabel auth, dan menggunakannya untuk mengontrol data yang dapat diakses pengguna.

Anda dapat mengizinkan pengguna untuk login ke aplikasi Anda menggunakan beberapa penyedia autentikasi dengan menautkan kredensial penyedia autentikasi ke akun pengguna yang ada.

Agar pengguna logout, panggil signOut:

firebase.auth().signOut().then(function() {
  // Sign-out successful.
}).catch(function(error) {
  // An error happened.
});

Kirim masukan tentang...

Butuh bantuan? Kunjungi halaman dukungan kami.