使用令牌（JWT？）管理安全请求

Question

我正在使用 Firebase、Node、Mongo、Swift 开发应用程序。

Firebase 负责注册和登录。 Mongo 用于将用户信息保存到 DB。 节点作为服务器负责管理来自客户端的请求。 在 Swift 中，我们编写 UI 和客户端。

所以我要求一种可以使用一些令牌来验证用户请求的方法。 目前，如果用户发送他的 ID，每个用户都可以询问任何请求。 它不是很安全，我想管理请求，只有经过身份验证和登录的用户才能请求请求。

我是这样想的 -> 每个登录的用户都有来自 firebase 的令牌，对吗？ ，因此用户可以将 Token & id 发送给我，并且在服务器端 Node 将通过 FireBase 检查 Token 是否有效。

感谢您的回复。

Answer 1

如果您的用户已登录 Firebase 身份验证，您可以将他们的 ID 令牌发送到您的 Node.js 服务器，并在那里验证令牌是否有效。您将为此使用 Firebase Admin SDK，并使用您的 Firebase 项目的管理员凭据对其进行初始化，以便它可以检查令牌的正确范围。然后您自己的服务器端代码可以使用解码后的令牌中的信息来确保用户被授权执行请求。

此过程记录在 verifying ID tokens 上的 Firebase 身份验证文档中，因此我建议您研究一下。