使用 Firebase 检查用户身份验证

Question

我正在使用 Firebase 身份验证将用户登录到我的网站。登录后，它们会被重定向到 /console.html。

在这个文件的头部我有

<script type="text/javascript">
    firebase.auth().onAuthStateChanged(function(user) {
      if (user) {
        // User is signed in.
      } else {
        // No user is signed in.
        window.location.href = '/';
      }
    });
  </script>

检查他们是否已登录。如果没有，他们将被重定向到 index.html，这只是一个登录页面。我遇到的问题是，如果有人禁用 Javascript 并转到 /console.html，这将被忽略，他们能够看到该网页上显示的任何内容。

用于提供登录的代码使用 FirebaseUI，如下：

  <script type="text/javascript">
    // Initialize the FirebaseUI Widget using Firebase.
    var ui = new firebaseui.auth.AuthUI(firebase.auth());

    var uiConfig = {
      callbacks: {
        signInSuccessWithAuthResult: function(authResult, redirectUrl) {
          // User successfully signed in.
          // Return type determines whether we continue the redirect automatically
          // or whether we leave that to developer to handle.
          return true;
        },
        uiShown: function() {
          // The widget is rendered.
          // Hide the loader.
          document.getElementById('loader').style.display = 'none';
        }
      },
      // Will use popup for IDP Providers sign-in flow instead of the default, redirect.
      signInFlow: 'popup',
      signInSuccessUrl: 'console.html',
      signInOptions: [
        // Leave the lines as is for the providers you want to offer your users.
        firebase.auth.EmailAuthProvider.PROVIDER_ID
      ],
      // Terms of service url.
      tosUrl: '<your-tos-url>',
      // Privacy policy url.
      privacyPolicyUrl: '<your-privacy-policy-url>'
    };

    // The start method will wait until the DOM is loaded.
    ui.start('#firebaseui-auth-container', uiConfig);
  </script>

（从 Firebase 文档复制）。

Answer 1

您永远不应该只保护客户端的任何重要信息，在决定您页面上的内容是否安全时，请始终假设您的客户端保护不存在。

您在 HTML 文件中显示的任何内容都应仅从服务器/数据库/无论服务器端的某些安全规则匹配的任何内容中获取。