Firebase 인증을위한 새로운 Federated Identity Provider를 작성하는 방법

Question

PayPal 로그인을 Android 앱에 통합하여 클라이언트를 Firebase 데이터베이스에 인증하려고합니다. 클라이언트 응용 프로그램에서 "signin withcustomtoken"함수를 사용하기 위해 제공된 uid에서 토큰을 만드는 node.js 서버에서 사용자 정의 funtion을 작성했습니다. 토큰을 얻으려면 https를 통해 uid를 nodejs 서버로 보내야합니까? 더 좋은 방법이 있습니까?

Answer 1

uid을 허용하는 HTTP 끝점을 만들지 않고 사용자 지정 토큰을 반환합니다. 이는 공격자가 누구나 자신의 uid을 가장하는 가장의 보안 취약점입니다. 해야 할 일은 다음과 같습니다.

1. 페이팔 OAuth 코드 플로우를 구현하십시오. 당신은 타사 라이브러리를 사용할 수 있습니다.
2. 페이팔 OAuth 인증 코드를 받으면이를 백엔드로 보내고 페이팔 클라이언트 ID와 암호를 사용하여 페이팔 새로 고침 토큰과 액세스 토큰을 교환합니다. 그런 다음 paypal 사용자를 포함하여 해당 페이팔 사용자와 관련된 사용자 정보를 얻을 수 있습니다. 그런 다음 Firebase Admin SDK를 사용하여 Firebase 사용자 정의 토큰을 작성한 다음 클라이언트에게 반환하십시오.
3. 클라이언트에서 signInWithCustomToken을 사용하여 해당 사용자 토큰으로 로그인을 완료하십시오.

이 경우 권한 부여 코드를 사용하고 Firebase 사용자 지정 토큰을 반환하는 HTTP 끝점을 노출합니다.

기본 아이디어입니다 (세부 정보 제외). 물론 여러분은 여전히 ​​어떤 장치를 사용하여 흐름을 시작하고 끝내야하는지 확인해야합니다. 그런 다음 마지막 상태로 되돌려 놓았는지 확인하십시오. 또한 앱 링크 등을 사용하여 인증 코드가 올바른 앱으로 반환되는지 확인해야합니다. Firebase Dynamic Links가 도움이 될 수 있습니다.