Xác minh mã thông báo PNV của Firebase

Khi thư viện Firebase PNV xác minh thành công số điện thoại của một thiết bị, thư viện này sẽ trả về số điện thoại đã xác minh và mã thông báo đã ký chứa số điện thoại đó. Nếu sử dụng số điện thoại đã xác minh bên ngoài ứng dụng, bạn nên truyền mã thông báo thay vì chính số điện thoại đó để có thể xác minh tính toàn vẹn của mã thông báo khi sử dụng. Để xác minh mã thông báo, bạn có thể sử dụng bất kỳ thư viện xác minh JWT nào. Hãy sử dụng thư viện này để xác minh tất cả thông tin sau:

  • Tiêu đề typ được đặt thành JWT.

  • Mã thông báo được ký bằng một trong các khoá được xuất bản tại điểm cuối Firebase PNV JWKS bằng thuật toán ES256:

    https://fpnv.googleapis.com/v1beta/jwks

  • Tuyên bố về tổ chức phát hành chứa số dự án Firebase của bạn và có định dạng sau:

    https://fpnv.googleapis.com/projects/FIREBASE_PROJECT_NUMBER

    Bạn có thể tìm thấy số dự án Firebase trên thẻ Cài đặt > Chung của bảng điều khiển.Firebase

  • Tuyên bố về đối tượng là một danh sách chứa số dự án và mã dự án Firebase của bạn và có định dạng sau:

    [
  https://fpnv.googleapis.com/projects/FIREBASE_PROJECT_NUMBER,
  https://fpnv.googleapis.com/projects/FIREBASE_PROJECT_ID,
]

  • Mã thông báo chưa hết hạn.

Ví dụ

Ví dụ ngắn gọn: Ứng dụng Express.js sau đây nhận mã thông báo Firebase PNV từ yêu cầu POST HTTP và sử dụng thư viện xác minh JWT để kiểm tra chữ ký và các tuyên bố của mã thông báo:

Node.js

import express from "express";
import { JwtVerifier } from "aws-jwt-verify";

// Find your Firebase project number in the Firebase console.
const FIREBASE_PROJECT_NUMBER = "123456789";

// The issuer and audience claims of the FPNV token are specific to your
// project.
const issuer = `https://fpnv.googleapis.com/projects/${FIREBASE_PROJECT_NUMBER}`;
const audience = `https://fpnv.googleapis.com/projects/${FIREBASE_PROJECT_NUMBER}`;

// The JWKS URL contains the current public signing keys for FPNV tokens.
const jwksUri = "https://fpnv.googleapis.com/v1beta/jwks";

// Configure a JWT verifier to check the following:
// - The token is signed by Google
// - The issuer and audience claims match your project
// - The token has not yet expired (default behavior)
const fpnvVerifier = JwtVerifier.create({ issuer, audience, jwksUri });

const app = express();

app.post('/verifiedPhoneNumber', async (req, res) => {
    if (!req.body) return res.sendStatus(400);
    // Get the token from the body of the request.
    const fpnvToken = req.body;
    try {
        // Attempt to verify the token using the verifier configured
        previously.
        const verifiedPayload = await fpnvVerifier.verify(fpnvToken);

        // If verification succeeds, the subject claim of the token contains the
        // verified phone number. You can use this value however it's needed by
        // your app.
        const verifiedPhoneNumber = verifiedPayload.sub;
        // (Do something with it...)

        return res.sendStatus(200);
    } catch {
        // If verification fails, reject the token.
        return res.sendStatus(400);
    }
});

app.listen(3000);