Cloud Endpoints + Firebase Admin SDK：通过用户的 FirebaseUser 令牌对用户进行身份验证答案

【问题标题】：Cloud Endpoints + Firebase Admin SDK: authenticating users via their FirebaseUser tokensCloud Endpoints + Firebase Admin SDK：通过用户的 FirebaseUser 令牌对用户进行身份验证
【发布时间】：2017-04-10 23:47:53
【问题描述】：

我已经使用谷歌云端点（版本 1，使用 android studio）为我的 android 应用程序构建了一个移动后端。我希望通过电子邮件/密码对我的用户进行身份验证，因此我使用 Firebase 身份验证来执行此操作。 Firebase Authentication sdk 允许我在客户端（在 android 中）获取每个用户的令牌，而 firebase admin sdk 允许我检查后端令牌的有效性。我知道在云端点中我可以提供我自己的自定义身份验证器（请参阅：Google Cloud Endpoints and user's authentication），并且我计划在我的自定义身份验证器中调用 firebase admin sdk 来验证用户提供的令牌。

我的问题是，由于我使用谷歌云端点来构建我的后端，我不知道在哪里插入代码来初始化我可以验证任何令牌之前需要的 firebase 管理对象。在常规的应用程序引擎环境中，您可以在 HTTPServlet 的 init() 方法中执行此初始化（请参阅 https://github.com/GoogleCloudPlatform/firebase-appengine-backend/blob/master/src/main/java/com/google/cloud/solutions/flexenv/backend/MessageProcessorServlet.java ），但云端点通过自动提供“SystemServiceServlet”作为 HTTPServlet 对您隐藏了这一点。我已经尝试继承 SystemServiceServlet 并覆盖 init() 方法，但随后将端点部署到应用程序引擎失败，因为显然，创建 android 客户端库要求必须使用 SystemServiceServlet（并且必须将其命名为“SystemServiceServlet ")。

我可以在云端点提供的每个 api 方法中（例如，在我的 api 的 insert 方法中）初始化 firebase 管理应用程序，但这似乎效率极低。我将如何在使用谷歌云端点构建的后端中使用 Firebase admin sdk？

非常感谢您的宝贵时间

【问题讨论】：

如果您只想生成自定义令牌，请使用此库生成自定义令牌 --> github.com/jwtk/jjwt。它易于使用，并且您不会遇到使用此库进行初始化的问题。

标签： android google-app-engine firebase-authentication google-cloud-endpoints firebase-admin

【解决方案1】：

由于我在 Cloud Endpoints 中找不到合适的位置来初始化 Firebase 管理代码，因此我编写了自己的服务器端 Java 代码来根据 https://firebase.google.com/docs/auth/admin/verify-id-tokens#verify_id_tokens_using_a_third-party_jwt_library 验证 Firebase 令牌

这是一个帮助类，您可以使用它来验证用户的 Firebase 令牌并获取他们的 Firebase 用户 uid（此代码使用来自 https://bitbucket.org/b_c/jose4j/wiki/Home 的 jose.4.j 库来执行 JWT 操作）：

public class TokenManager {
    private final static String PROJECT_ID = "your_firebase_project_id";
    private final static String AUDIENCE = PROJECT_ID;
    private final static String ISSUER = "https://securetoken.google.com/" + PROJECT_ID;
    private final static String KEYS_URL = "https://www.googleapis.com/robot/v1/metadata/x509/securetoken@system.gserviceaccount.com";

    /**
     * Parses and verifies a FirebaseUser ID token (JWT) and returns the associated user's uid
     *
     * @param token the firebase user's token
     * @return the firebase user UID
     * @throws UnauthorizedException if the token is invalid.
     */
    public static String verfiyToken(String token) throws UnauthorizedException{
        JwtConsumer firstPassJwtConsumer = new JwtConsumerBuilder()
                .setSkipAllValidators()
                .setDisableRequireSignature()
                .setSkipSignatureVerification()
                .build();

        //The first JwtConsumer is basically just used to parse the JWT into a JwtContext object.
        JwtContext jwtContext;
        try {
            jwtContext = firstPassJwtConsumer.process(token);
        } catch (InvalidJwtException e) {
            throw new UnauthorizedException(e.getMessage());
        }

        // get the key id from the header of the JWT
        List<JsonWebStructure> list = jwtContext.getJoseObjects();
        String kid = list.get(0).getKeyIdHeaderValue();
        String keyAsString;
        try {
            keyAsString = getPublicKey(kid);
        } catch (IOException e) {
            throw new UnauthorizedException(e.getMessage());
        }

        // decode the key into proper format
        InputStream certIs = new ByteArrayInputStream(Charset.forName("UTF-8").encode(keyAsString).array());

        CertificateFactory certificateFactory;
        try {
            certificateFactory = CertificateFactory.getInstance("X.509");
        } catch (CertificateException e) {
            throw new UnauthorizedException(e.getMessage());
        }

        X509Certificate cert;
        try {
            cert = (X509Certificate) certificateFactory.generateCertificate(certIs);
        } catch (CertificateException e) {
            throw new UnauthorizedException(e.getMessage());
        }
        PublicKey key = cert.getPublicKey();

        // now that we have the public key, we can verify the JWT
        JwtConsumer jwtConsumer = new JwtConsumerBuilder()
                .setRequireExpirationTime() // the JWT must have an expiration time
                .setMaxFutureValidityInMinutes(300) // but the  expiration time can't be too crazy
                .setAllowedClockSkewInSeconds(30) // allow some leeway in validating time based claims to account for clock skew
                .setRequireSubject() // the JWT must have a subject claim
                .setExpectedIssuer(ISSUER) // whom the JWT needs to have been issued by
                .setExpectedAudience(AUDIENCE) // to whom the JWT is intended for
                .setVerificationKey(key) // verify the signature with the public key
                .build(); // create the JwtConsumer instance

        JwtClaims jwtClaims;
        try {
            //  Validate the JWT and process it to the Claims
            jwtClaims = jwtConsumer.processToClaims(token);
        } catch (InvalidJwtException e)  {
            throw new UnauthorizedException(e.getMessage());
        }

        String userUid;

        try {
            userUid = jwtClaims.getSubject();
        } catch(MalformedClaimException e) {
            throw new UnauthorizedException(e.getMessage());
        }
        return userUid;
    }


    /**
     * Grab the certificate corresponding to the keyid specified in the JWT
     *
     * @param kid key id corresponding to one of the public keys listed at public keys listed at
     *            https://www.googleapis.com/robot/v1/metadata/x509/securetoken@system.gserviceaccount.com
     * @return the certificate
     * @throws IOException if the process fails
     */
    private static String getPublicKey(String kid) throws IOException {
        URL url = new URL(KEYS_URL);
        HttpURLConnection request = (HttpURLConnection) url.openConnection();
        request.connect();

        JsonParser jp = new JsonParser(); //from gson
        JsonElement root = jp.parse(new InputStreamReader((InputStream) request.getContent()));
        JsonObject rootobj = root.getAsJsonObject();
        String publicKey = rootobj.get(kid).getAsString();

        return publicKey;
    }
}

【讨论】：

这对我的情况非常有效，尝试同步验证来自 Firebase 的令牌，而不是像 Firebase Admin APK 强制那样异步验证。感谢您提供的精彩示例！

【解决方案2】：

@Dan7620，提出了另一种替代方式，但并没有解决问题。这是一个简单的解决方案，它使用 Firebase Admin SDK，在 Cloud Endpoints 模块中正确配置和初始化。我将在这里总结一下步骤：

将您的 serviceAccountKey.json 放在应用的 WEB-INF 文件夹中。

在你的 appengineweb.xml 中插入这个：

<resource-files>
    <include path="/**.json" />
</resource-files>

在下面的某个地方定义一个类。强制使用单独的 init() 方法：

public class FirebaseService {

public static void init() {
    try {
        FileInputStream serviceAccount = new FileInputStream(new File("WEB-INF/serviceAccountKey.json"));
        FirebaseOptions options = new FirebaseOptions.Builder()
            .setCredential(FirebaseCredentials.fromCertificate(serviceAccount))
            .setDatabaseUrl("https://[YOUR_APP_NAME].firebaseio.com/")
            .build();
        FirebaseApp.initializeApp(options);
        System.out.print("In Firebase Init module...!!");
    } catch(FileNotFoundException ignored) {}
}

在您定义的任何 Endpoints 中的任何 static{} 代码中调用此方法。例如：
```
static {
    ObjectifyService.register(FCMTokenMap.class);
    FirebaseService.init();
}
```
1. 您可以从任何地方调用涉及数据库、FCM 等的其他 Firebase 方法......！

【讨论】：