如何验证 Firebase 令牌服务器端？

Question

我有一个 firebase 帐户，我在其中手动创建能够使用我的网站的用户（注册不公开，但与此查询无关）

在登录页面中，通过javascript进行身份验证。
一旦用户输入他们的邮件和密码，相应的函数就会被执行，我得到令牌并通过 url 重定向将它发送到我的 PHP 服务器。像这样的：

firebase.auth().signInWithEmailAndPassword(inputemail, inputpassw)
    .then( function(user) {

        myEmail = user.email;
        myUid = user.uid;

        user.getIdToken()
            .then( function(token){
                myToken = token;

                location.href = "http://www.example.com/verify?email="+myEmail+"&token="+myToken+"&uid="+myUid;

            });

    }, function (error) {
       ...
    }); 

然后，在我的服务器上，我将拥有邮件、uid 和令牌。
所以，我的问题是：
如何验证令牌是否有效？不可能吗？
我知道令牌是加密的，但密钥是公开的......所以任何人都可以制作有效的令牌！
我的意思是，例如，我有一个过期的令牌，我可以对其进行解码、更改过期时间、再次对其进行编码并在不知道任何密码的情况下访问我的服务器

我有什么遗漏吗？

显然我无法通过 REST 验证令牌。
我有什么选择？

Answer 1

来自 Firebase Documentation：

Firebase Admin SDK 具有用于验证和解码 ID 令牌的内置方法。 如果提供的 ID 令牌格式正确、未过期且签名正确，则该方法返回解码后的 ID 令牌。您可以从解码后的令牌中获取用户或设备的 uid。

因此，您无需担心有人试图生成假令牌。

在 PHP 中验证令牌，如文档 Firebase Admin SDK for PHP 中所述

验证令牌的最少代码：

use Kreait\Firebase;
use Firebase\Auth\Token\Exception\InvalidToken;

//create Firebase factory object
//$firebase = (new Firebase\Factory())->create();

//get a token from client 
//$idTokenString = 'eyJhbGciOiJSUzI1...';

try {
    $verifiedIdToken = $firebase->getAuth()->verifyIdToken($idTokenString);
} catch (InvalidToken $e) {
    echo $e->getMessage();
}

$uid = $verifiedIdToken->getClaim('sub');
$user = $firebase->getAuth()->getUser($uid);
echo $user;