Проблема безопасности с проверкой маркера firebase на стороне сервера? - PullRequest
0 голосов
/ 07 марта 2019

Я использую аутентификацию firebase mobile otp.После успешной аутентификации мое приложение для Android получает токен, который я должен проверить на моем сервере django.Но когда я читал документы по проверке этого токена, выяснилось, что если кто-то знает мой идентификатор проекта firebase, он может генерировать действительные токены в любое время.

Чтобы получить контекст, посмотрите на последний метод, чтобыпроверить токен firebase на ссылка

Разве это не очень рискованно, так как, как только ваш идентификатор проекта firebase известен кому-то, они могут создавать поддельные токены ??

Также делаетПользовательский маркер аутентификации поможет преодолеть эту проблему?

Спасибо.Дайте мне знать, если я неправильно понял валидацию токенов Firebase и невозможно создать поддельные токены, как только мы узнаем идентификатор проекта firebase.

1 Ответ

1 голос
/ 07 марта 2019

ID токены подписаны закрытым ключом, принадлежащим Firebase Auth.Они не могут быть подделаны.Обратите внимание, что в документе, на который вы ссылаетесь, также указано:

Наконец, убедитесь, что ID-токен был подписан секретным ключом, соответствующим заявке токена.Возьмите открытый ключ из https://www.googleapis.com/robot/v1/metadata/x509/securetoken@system.gserviceaccount.com и используйте библиотеку JWT для проверки подписи.

Подделанный идентификационный токен не пройдет проверку подписи.

...