Android + Firebase Auth + REST API：如何正确使用令牌？

Question

我正在开始一个新项目，而 Firebase Auth 是身份验证的选择。这个想法是通过 Firebase Auth 创建/登录用户，然后使用 Firebase ID 令牌在我的后端进行身份验证（通过 Authentication 标头）。

在 Google Samples 中，这是我获取令牌的方式：

FirebaseUser mUser = FirebaseAuth.getInstance().getCurrentUser();
mUser.getIdToken(true)
    .addOnCompleteListener(new OnCompleteListener<GetTokenResult>() {
        public void onComplete(@NonNull Task<GetTokenResult> task) {
            if (task.isSuccessful()) {
                String idToken = task.getResult().getToken();
                // Send token to your backend via HTTPS
                // ...
            } else {
                // Handle error -> task.getException();
            }
        }
    });

但是，正如您所见，这是一个异步调用，因为它会转到 Firebase 服务器以获取令牌。所以，每次对后端的 REST API 调用，我都需要运行上面的代码，因为我不知道令牌什么时候过期。

有没有更好的方法来使用 Firebase Auth 安全调用我的后端 REST API？还是使用 Firebase ID 令牌是最好的？如果是这样，我应该如何为每个 REST API 调用包装这个 id 令牌获取？

如果您以后有更好的方法来验证用户以调用 rest api，我会全力以赴。

Answer 1

所以这个想法很简单。如您所知，您可以在 Android 设备中使用此方法：

FirebaseUser mUser = FirebaseAuth.getInstance().getCurrentUser();
mUser.getIdToken(true)
    .addOnCompleteListener(new OnCompleteListener<GetTokenResult>() {
        public void onComplete(@NonNull Task<GetTokenResult> task) {
            if (task.isSuccessful()) {
                String idToken = task.getResult().getToken();
                // Send token to your backend via HTTPS
                // ...
            } else {
                // Handle error -> task.getException();
            }
        }
    });

一旦您持有令牌实例，您将其发送到后端进行身份验证，它只会进行一次身份验证，并向后端发送一个由后端本身管理的令牌。这是在每次后续调用后端时都会发送的令牌，而不是上述方法生成的令牌。