Безопасность проверки токена Firebase

Question

Я использую JWT на бэкэнде Delphi для проверки токенов Firebase ID

• все значения заголовка и полезной нагрузки в порядке
• проверена подпись с открытым ключом Google

Этого достаточно, чтобы проверить и избежать манипуляций с токенами, или я должен что-то сделать с закрытым ключом?

Answer 1

Вам нужен закрытый ключ для mint ID-токена, но не для проверки ID-токена. Для этого требуется только открытый ключ и некоторые значения конфигурации проекта.

Проверка токенов идентификатора описана в документации Firebase здесь: https://firebase.google.com/docs/auth/admin/verify-id-tokens#verify_id_tokens_using_a_third-party_jwt_library. Если вы предприняли эти шаги, вы можете быть уверены, что токен принадлежит пользователю и проецирует его на себя.