Как ограничить функцию https в облаке Google для пользователей, которые только что оплатили подписку - PullRequest
0 голосов
/ 26 мая 2020
• 1000 1005 *

Мне не удалось придумать хороший способ аутентификации вызывающих абонентов этой функции. Я хочу, чтобы эту функцию мог вызывать только тот, кто только что оплатил премиальную подписку. В моей текущей реализации любой пользователь мог вызвать эту функцию и получить премиум подписку бесплатно. Я уверен, что есть кто-то, кто реализовал токены для подписок, поэтому я хочу знать, как мне это защитить.

1 Ответ

2 голосов
/ 26 мая 2020

Не рекомендуется разрешать пользователям вызывать для себя код, который безоговорочно изменяет их собственные пользовательские утверждения для расширенных привилегий.

Вместо этого вам следует иметь какой-то другой внутренний код (который не может быть напрямую вызван пользователем), который устанавливает пользовательские утверждения в то время, когда известно, что они должны иметь эти привилегии. Поскольку мы не знаем, в какой момент пользователь заплатил за подписку, невозможно сказать, что будет работать в вашем случае. Вам придется это выяснить, проанализировав поток данных через вашу систему, и придумать своего рода триггер, который добавит пользовательские утверждения. Какую бы систему вы ни использовали для подписок, ее необходимо подключить.

...