Firebaseの認証についてメモ書き

Posted at 2022-09-21

Firebaseの認証について色々調べる機会があったので、メモ書きですが残したいと思います。

トークンは2種類

ユーザーを無効化や削除した時は更新トークンが無効になる。FirebaseIDトークンを即時無効にすることはできない。
FirebaseIDトークンの有効期限を待てない場合は、無効化したuidのブラックリストを作りセキュリティルールで弾く等の工夫が必要。

onAuthStateChangedを使うとログイン、ログアウト、トークン更新時に処理を加えることができる

firebase.auth().onAuthStateChanged((user) => {
  if (user) {
    // ログイン中
  } else {
    // 未ログイン
    // ex) ログインページに飛ばす
  }
});

似た関数でonIdTokenChangedがあるが、4.0.0以前ならonAuthStateChangedと同じ動作になり、4.0.0からはログイン、ログアウト時のみ動作するので注意。

onCallを使うとトークンの検証をやってくれる。onRequestはやってくれないので、自前でトークン検証を実装する必要あり。

NGの場合はunauthenticatedを返して終了する。
トークン無しの時OKになることに注意。誰でもアクセスされると困る場合はonCallの第二引数のcontextのauthがundefinedなので、undefinedならunauthenticatedを返して終了するようにすればOK。

また、Firebaseエミュレータを使っている場合はトークンの検証はせず常にOKになるので注意。
該当するユーザーがいない場合、context.authは下記が返ってくる。
{ uid: undefined, token: { uid: undefined } }