firebase.auth().createCustomToken 在网络应用程序上未定义

Question

我正在尝试为使用 Firebase 的网络应用创建“记住我”功能。

我的目标是，当用户单击“记住我”并成功登录时，他们的身份验证令牌会使用 localStorage 存储，并在下次访问时自动登录（为了安全起见，我更喜欢将其原始凭据存储在 localStorage目的）。

但是，当我尝试调用 firebase.auth().createCustomToken 时，我收到一条错误消息，提示它不存在。这是对firebase的错误方法还是错误的函数调用？谢谢！

这是我的代码示例：

var customToken = firebase.auth().createCustomToken(user.uid);
localStorage.setItem("savedToken", customToken);

然后我打算用这条线重新登录：

firebase.auth().signInWithCustomToken(localStorage.getItem("savedToken")).then(function() {

Answer 1

firebase.auth().createCustomToken 仅在服务器 API 中可用。

要使用电子邮件和密码进行身份验证并获取会话令牌，请尝试以下操作：

firebase.auth().signInWithEmailAndPassword(email, password)
  .then(function(user) {
    user.getToken().then(function(token) {
      localStorage.setItem("savedToken", token); // store the token
    });
  })
  .catch(function(error) {
    // handle error...
  });

这也适用于其他身份验证方法；只需使用User.getToken。稍后，如果您有一个令牌（仍在客户端上），并且您想使用它进行身份验证，只需执行您当前正在执行的操作：

var token = localStorage.getItem("savedToken"); // get stored token
firebase.auth().signInWithCustomToken(token).catch(function(error) {
  // handle error...
});

上面的代码不起作用，因为signInWithCustomToken 仅适用于您的服务器使用createCustomToken 铸造的令牌。我不确定如何使用电子邮件/密码令牌进行身份验证。

Answer 2

创建自定义令牌需要有权访问您的 Firebase 项目的私钥/服务帐号。此密钥是获取 Firebase 项目访问权限的主密钥，知道它可以提供无限访问权限。

由于知道私钥的人可以无限制地访问 Firebase 项目，因此永远在客户端上铸造自定义令牌是没有意义的。您可以简单地从 Firebase 数据库和存储服务中删除所有安全性。

要使用自定义令牌验证客户端，mint a custom token on an app server 并将其（安全地）传递给客户端。然后use the custom on the client 和signInWithCustomToken。这样，只有您的应用服务器必须知道服务帐户/私钥。