Uwierzytelnianie Firebase na tle rozszerzenia Chrome Strona

Question

Jak mogę uwierzytelnić się w Firebase w rozszerzeniu chrome? Muszę określić dozwoloną listę domen w Forge. Domena Chrome dla rozszerzenia jest po prostu wielkim hash-like string.

Czytałem to: authClient.login problems

Ale domeną opartą na zaszyfrowaną z rozszerzeniem Chrome nie jest akceptowana w Firebase kuźni. Czy istnieje inny sposób, aby to osiągnąć? Aktualnie czytam plik cookie firebaseSessionKey, aby założyć, że jestem zalogowany. Ale na pewno nie jest to tak bezpieczne, jak zezwolenie Firebase na walidację tego klucza sesji.

Answer 1

Jak zaznacza Rob, uwierzytelnianie nie może działać w środowisku, które nie wymusza ograniczeń pochodzenia. Podstawowym problemem jest to, że każdy dostawca uwierzytelnienia (Facebook, Twitter, Persona lub Twoja własna usługa) nie może wystawić tożsamości przeglądarki - tj. Nie ma sensu używać Facebooka do logowania do przeglądarki (lub rozszerzenia).

Dodatek F1 do przeglądarki Firefox napotkał podobny problem (http://f1.mozillamessaging.com/) - w którym można zezwolić F1 na publikowanie na Twitterze/Facebooku w Twoim imieniu. Rozszerzenie zawierało stronę internetową, z której można by obsługiwać stronę logowania i postępować tak, jak zwykle na stronie internetowej. Będziesz potrzebował jakiegoś kodu do komunikacji między stroną internetową a twoim rozszerzeniem, chrom zapewnia niezbędne narzędzia.

Polecam to samo podejście - utwórz stronę internetową w prawdziwej domenie (strony Github są niesamowite), aby pasowało do twojego rozszerzenia. Oznacza to, że Twoje rozszerzenie nie działa offline, ale nie możesz zalogować się ani pisać w Firebase!

Answer 2

Będzie to działać z wykorzystaniem funkcji logowania do logowania Google Plus, która według mnie jest jedyną, która umożliwia uwierzytelnianie krzyżowe, więc zakresy to Google Plus Zaloguj.

"www [kropka] googleapis [dot] com/auth/plus.login"

Więc co się tu dzieje to dostaniesz access_token z rozszerzenia, które będzie wysyłać do Firebase z prośbą wykorzystaniem authwihtoauthtoken określający google jako dostawcę wraz z access_token uzyskanym z chrome.identity.getAuthToken()!

https://www.firebase.com/docs/web/api/firebase/authwithoauthtoken.html

Teraz jest fakt, że dostęp ten żeton może zostać wydany przez inną aplikację, więc musimy się upewnić, że jest on ważny i czy został wydany dla naszej aplikacji, po prostu musimy wiedzieć Nie nieprawdaż Mężczyzna w środku próbuje uzyskać dostęp do naszej bazy danych.

Ta weryfikacja jest przeprowadzana przez firebase.

Będą sprawdzać, czy token należy do tego samego wniosku, w którym został wydany token.

Musisz więc utworzyć inny zestaw poświadczeń w tej samej aplikacji w konsoli programistów google, jak w przypadku swojego rozszerzenia. Zasadniczo robimy to samo, co gdybyśmy zrobili to dla naszej strony internetowej, ale będziemy wstawiać ten nowy zestaw poświadczeń do oFeury goo firebase w ich sekcji bezpieczeństwa.

Zrobią to za nas tam. Będą weryfikować za pomocą google, jeśli token zostanie wysłany do tej samej aplikacji.

To wszystko.

Informacje dodatkowe.

https://developers.google.com/identity/protocols/OAuth2UserAgent#validatetoken

przypadków użycia

Wysyłanie znaki identyfikacyjne z wniosków, które muszą być uwierzytelnione. Na przykład, jeśli chcesz przekazać dane do swojego serwera i chcesz upewnić się, że dane pochodzą od konkretnego użytkownika.

Kiedy zweryfikować dostęp Wszystkie żetony potrzebne do weryfikacji na serwerze, chyba że wiesz, że pochodzą bezpośrednio od Google. Każdy token otrzymany z aplikacji klienckich musi zostać zweryfikowany.

Google ma tutorial jak to zrobić dla pytona adresem:

"github [dot] com/googleplus/gplus-verifytoken-python"

Więc w zasadzie to, co się tu dzieje jest; zamiast tego przeprowadzasz weryfikację na swoim serwerze, firebase wykonuje tę weryfikację dla ciebie, kiedy wpisujesz CLIENT_ID i APP_SECRET do bazy ogniowej i włączasz Uwierzytelnianie Google.

Sposób wykonania tej czynności jest kombinacją lub takim samym stylem weryfikacji, dla której wystawiono atrybut client_secret. Chrome da ci access_token, a następnie ten access_token będzie sprawdzany na zapleczu firewallu.