Безопасность проверки токена Firebase

#firebase #delphi #firebase-authentication #jwt

#firebase #delphi #firebase-аутентификация #jwt

Вопрос:

я использую JWT на серверной части Delphi для проверки токенов Firebase ID

  • все значения заголовка и полезной нагрузки в порядке
  • проверил подпись с помощью открытого ключа Google

достаточно ли этого для проверки и предотвращения манипуляций с токенами, или я должен что-то сделать с закрытым ключом?

Комментарии:

1. Это решается здесь github.com/SchneiderInfosystems/FB4D/blob/master/Source /…

Ответ №1:

Вам нужен закрытый ключ для создания токена ID, но не для проверки токена ID. Все, что для этого требуется, — это открытый ключ и некоторые значения конфигурации проекта.

Проверка токенов ID описана в документации Firebase здесь: https://firebase.google.com/docs/auth/admin/verify-id-tokens#verify_id_tokens_using_a_third-party_jwt_library. Если вы выполнили эти шаги, вы можете быть уверены, что токен принадлежит пользователю и проекту, за который он себя выдает.