Firebase 自定义身份验证：JavaScript 中 Firebase 机密的安全性

Question

我想在我的 Angular 应用程序中使用 Firebase Custom Authentication。这个动作真的很简单：

var FirebaseTokenGenerator = require("firebase-token-generator");
var tokenGenerator = new FirebaseTokenGenerator("<YOUR_FIREBASE_SECRET>");
var token = tokenGenerator.createToken({ uid: "uniqueId1", some: "arbitrary", data: "here" });

但在文档页面中有关于 Firebase Secret 安全性的警告：

Firebase JWT 应始终在受信任的服务器上生成，以便 可以保留生成它们所需的 Firebase 应用程序机密 私人的。

我想知道如果每个人都可以查看我的 JavaScript 源代码并在那里阅读 Firebase Secret，我如何才能将我的 Firebase Secret 保密？我是否遗漏了某些内容，或者无法在 JavaScript 中执行此操作？

Answer 1

您引用的代码将在您的 nodejs 服务器 上运行（因此 - 服务器端 javascript）。
服务器组件FirebaseTokenGenerator 负责生成令牌并将其发送回 JS 客户端，在客户端通过您的服务器验证后，使用您想要的 任何 方法。这就是为什么它被命名为自定义身份验证。