Angularfire/Firebase 实现了哪些 OAuth Flow？答案

【问题标题】：What OAuth Flow does Angularfire/Firebase implement?Angularfire/Firebase 实现了哪些 OAuth Flow？
【发布时间】：2018-10-15 18:10:53
【问题描述】：

我无法弄清楚依赖 Firebase 进行单点登录身份验证的应用程序使用的具体流程是什么。

我知道大多数 SPA 和客户端应用程序都使用“隐式流”，基本上是因为一切都发生在浏览器中，并且没有反向通道，所以应用程序直接检索身份验证令牌。

但 Firebase 也是如此吗？假设我们有一个 Angular2+ Web 应用程序，它使用 Firebase 和 AngularFire 库通过可用的提供商之一（即 Facebook、Google 等）实现单点登录身份验证

Firebase 充当应用程序的后端，那么在这种情况下使用的身份验证流程到底是什么？是更安全的“授权码”还是更简单的“隐式流程”？

我通读了 Firebase 文档，但找不到任何关于它的具体信息。

【问题讨论】：

【解决方案1】：

他们使用受支持的 OAuth 2.0 提供商（Google、Facebook 和 GitHub）的授权代码流。在流程结束时，代码也将使用您在 Firebase 控制台中与您的提供者配置的密钥交换为访问令牌或 ID 令牌（谷歌案例）。

【讨论】：

那么 Firebase 和提供商之间是否建立了安全的反向通道？如果是这样，我猜客户端应用程序不会获取或存储任何令牌，而只是最终答案（即 json 对象），如果令牌对提供者来说是可以的。对吗？
是的，Firebase Auth 将直接与提供商交换授权码。没有 OAuth 令牌存储在服务器上，也没有存储在客户端上。但 Firebase Auth 将返回提供者返回给客户端的任何 OAuth 访问令牌或 id 令牌。