firebase - 有没有办法确定 Firebase 用户的 UID 是否有效？

Question

我正在构建一个服务器路由，我希望限制它仅供经过身份验证的用户使用。我计划将带有 POST 的 user.uid 发送到此路由，并且我想验证 UID 是否存在于 Firebase 中。我知道我可以在 Firebase 中手动添加 UID 并检查此数据，但是否可以查看 Firebase 身份验证正在跟踪哪些 UID？我认为这种方法会比检查我自己的列表更好。

这样做的目的是确保这些路由不会被伪造的 UID 访问(例如出于恶意目的)。

Answer 1

验证 UID 不足以阻止恶意用户:1) 攻击者可以通过发送其他用户的 UID 来冒充其他用户，以及 2) UID 永远不会更改或过期，这意味着无法强制执行用户(或攻击者)重新认证。

您需要将 Firebase token 从客户端应用程序传递到您的服务器，并在接受该 token 之前对其进行验证。

token 由 Firebase 私钥安全签名。任何其他方都不能颁发有效的 Firebase token 。

token 的有效期仅为一小时。 Firebase 服务器将在发出新 token 之前检查帐户状态(例如密码更改事件)。

token 负载包含 UID 和受众。您应该验证受众是您自己的应用程序。

您可以使用 Firebase Admin SDK 或第三方库来验证 Firebase token 。见 Firebase doc详情。