Firebase Web 身份验证 - 服务器端呢？答案

【问题标题】：Firebase Web Authentication - what about server side?Firebase Web 身份验证 - 服务器端呢？
【发布时间】：2017-12-28 14:25:24
【问题描述】：

我想使用 Firebase 和 Firebase UI 对用户进行身份验证。我刚刚开始使用它。我正在考虑按照所有教程的建议使用它，那就是检查 Promise 中的有效用户，为开发人员提供一种获取该用户的电子邮件、uid 和提供程序的方法（也许还有一张图片）。

但后来我想，我的服务器端呢？有人不能复制之前登录的用户的电子邮件，并通过使用 devtools 填充他们认为合适的字段，然后开始使用网络应用程序吗？

我的服务器是否有办法在后台查询 Firebase，以便我可以确定用户仍处于登录状态？

accessToken 可能对此有用吗？是否有帮助联系 Firebase 服务器的库？

{"displayName”:”someone”
"email”:”some@one.com",
"emailVerified":false,
"phoneNumber":null,
"photoURL":"https://scontent.xx.fbcdn.net/v/t1.0-1/p100x100/535143_101537414228324dd23_7957838239360_n.jpg?,
"uid":"6yC3n39SsnOeFNZ6pJ0Yaw1vF2e3",
"accessToken”:”hjeher38738743j4k34.....", // <-- IMMEDIATE SUSPECT
"providerData":[
{
"uid":"987239872349872",
"displayName":"Some User",
"photoURL":"https://scontent.xx.fbcdn.net/v/t1.0-1/p100x100/83487843_3453453453453$%_32487234.jpg",
"email":"some@mail.com",
"phoneNumber":null,
"providerId":"facebook.com"
}
]

【问题讨论】：

标签： javascript firebase web firebase-authentication

【解决方案1】：

Firebase ID 令牌是所谓的不记名令牌，拥有该令牌的任何一方都被认为拥有与该令牌相关联的权限。由于这相当强大，这些令牌会自动过期（大约一个小时后）并且需要在此时刷新。

在服务器上，您可以decode the token and verify that it is valid。完成后，通过检查其exp 属性与实际时间来验证令牌是否未过期。

【讨论】：