Używanie niestandardowych tokenów do wysyłania żądań REST do FB DB jako administrator

Question

Przeprowadzam migrację do nowej bazy danych i wersji 3.0 klienta. Aktualizuję część, która generuje niestandardowy token autoryzacji (na naszym serwerze), aby wykonać PATCH, aby zaktualizować zasób w bazie danych Firebase DB.

tych wniosków PATCH używanych być wykonane przez nasz serwer do Firebase użyciu admin roszczeń na podstawie tego: https://www.firebase.com/docs/rest/guide/user-auth.htm

dla nowego DB, mam generowania tokenu JWT (używając ruby-jwt) tak:

payload = { 
    aud: "https://identitytoolkit.googleapis.com/google.identity.identitytoolkit.v1.IdentityToolkit", 
    claims: custom_claims.merge({ admin: true }), 
    exp: now_seconds + (60 * 60), # Maximum expiration time is one hour 
    iat: now_seconds, 
    iss: service_account_email, 
    sub: service_account_email, 
    uid: uid 
} 

JWT.encode(payload, private_key, "RS256") 

Żądanie z tym tokenem do bazy danych Firebase DB kończy się niepowodzeniem z: Missing claim 'kid' in auth header.

Answer 1

Oto odpowiednik odpowiedź Michaela Bleigh za pomocą ruby ​​moduł googleauth:

require 'googleauth' 

scopes = [ 'https://www.googleapis.com/auth/userinfo.email', 'https://www.googleapis.com/auth/firebase.database'] 
auth = ::Google::Auth.get_application_default(scopes) 
auth_client = auth.dup 
auth_client.sub = "service-account-email-here@yourapp.iam.gserviceaccount.com" 
token = auth_client.fetch_access_token! 

Potrzebny będzie również ustawić zmienną środowiskową GOOGLE_APPLICATION_CREDENTIALS do ścieżki pliku konto JSON usług. wartość dla auth_client.sub pochodzi z client_email w tym pliku JSON.

Oczywiście, jak wyżej, jest to ważne tylko w aplikacji serwera, którą kontrolujesz.

Ponadto, wysłanie żądania do interfejsu REST API firefase wciąż jest ćwiczeniem dla czytelnika.

referencje

• https://developers.google.com/api-client-library/ruby/auth/service-accounts#authorizingrequests
• https://developers.google.com/identity/protocols/application-default-credentials#whentouse

Answer 2

W nowej bazie Firebase należy bezpośrednio użyć konta usługi, aby utworzyć poświadczenia dostępu administratora. Oto fragment node.js, który pokazuje, jak wykonać połączenie REST do bazy danych:

// key.json is a service account key downloaded from the Firebase Console 
var key = require('./key.json'); 

var google = require('googleapis'); 
var request = require('request'); 

var DATABASE_URL = 'https://<databaseName>.firebaseio.com'; 

var jwtClient = new google.auth.JWT(key.client_email, null, key.private_key, [ 
    'https://www.googleapis.com/auth/userinfo.email', 
    'https://www.googleapis.com/auth/firebase.database' 
]); 

jwtClient.authorize(function(err, tokens) { 
    request({ 
    url: DATABASE_URL + '/.json', 
    method: 'GET', 
    headers: { 
     'Authorization': 'Bearer ' + tokens.access_token 
    } 
    }, function(err, resp) { 
    console.log(resp.body); 
    }); 
}); 

zrobić to samo w Ruby, można spojrzeć na googleauth gem do pobierania token dostępu przy użyciu poświadczeń konta usługi .