node.js - 使用 Firebase 身份验证验证 ID token

Question

我们正在开始开发网络应用程序，并考虑使用 Firebase 身份验证来处理我们的注册流程。但是，我们不确定 ID token 验证的工作原理。似乎可以使用 Firebase 领域之外的 token 来验证用户。我们正在考虑在 Google Kubernetes Engine 上开发一个 Node.js 应用程序——据我所知，它没有与 Firebase 身份验证集成。

Firebase 提供此 example关于如何使用 Firebase Admin SDK 验证 ID token :

// idToken comes from the client app (shown above)

admin.auth().verifyIdToken(idToken)
  .then(function(decodedToken) {
    var uid = decodedToken.uid;
    // ...
  }).catch(function(error) {
    // Handle error
  });

我的问题是 Firebase 是否必须调用其服务器以验证每个用户请求的 ID token ——这会增加延迟——或者它是否缓存验证 token 所需的加密 key 很长一段时间——这就是我认为它的工作原理。

Answer 1

当您调用 verifyIdToken 时，Admin SDK 使用公钥解码 token 并验证签名是否有效。它从谷歌的服务器下载这个 key ，但它被缓存了 24 小时(因为它几乎从不改变)。验证 token 后，它可以选择检查 token 是否已被撤销，这需要再次调用 Firebase 身份验证服务器。每次调用 verifyIdToken 时都会发生此请求。

您可以对照 source code 进行检查.

• verifyIdToken
• fetchPublicKeys
• verifyJWT
• verifyDecodedJWTNotRevoked