javascript - Firebase自定义身份验证: Security of Firebase Secret in JavaScript

Question

我想使用Firebase Custom Authentication在我的 Angular 应用程序中。这个 Action 非常简单:

var FirebaseTokenGenerator = require("firebase-token-generator");
var tokenGenerator = new FirebaseTokenGenerator("<YOUR_FIREBASE_SECRET>");
var token = tokenGenerator.createToken({ uid: "uniqueId1", some: "arbitrary", data: "here" });

但是文档页面中有关于 Firebase Secret 安全性的警告:

Firebase JWTs should always be generated on a trusted server so thatthe Firebase app secret which is needed to generate them can be keptprivate.

我想知道如果每个人都可以查看我的 JavaScript 源代码并在那里阅读 Firebase Secret，我如何才能将 Firebase Secret 保密？我是否遗漏了某些内容，或者无法在 JavaScript 中执行此操作？

Answer 1

您引用的代码将在您的nodejs 服务器上运行(因此 - 服务器端 javascript)。
服务器组件 FirebaseTokenGenerator 负责生成 token 并将其发送回 JS 客户端，在客户端通过服务器身份验证后，无论 你想要的方法。这就是它被命名为自定义身份验证的原因。