Neden arka uç sunucunuzda firebase kimlik doğrulamasıyla kimlik doğrulaması yapmak için getUid() yöntemini kullanamıyoruz?

Question

Bu kod snippet'inde (firebase doc) arka uç sunucunuzla kimlik doğrulaması yapmak için user.getUid() işlevini kullanmayın. yerine FirebaseUser.getToken() kullanın.

FirebaseUser user = FirebaseAuth.getInstance().getCurrentUser(); 
if (user != null) { 
    // Name, email address, and profile photo Url 
    String name = user.getDisplayName(); 
    String email = user.getEmail(); 
    Uri photoUrl = user.getPhotoUrl(); 

    // The user's ID, unique to the Firebase project. Do NOT use this value to 
    // authenticate with your backend server, if you have one. Use 
    // FirebaseUser.getToken() instead. 
    String uid = user.getUid(); 
} 


getUid() A unique user ID, intended as the user's unique key across all providers. 
getToken() The Firebase authentication token for this session. 

Benim şartımdır.

1. İlk önce kullanıcıyı firebase kimlik doğrulama yöntemiyle (E-posta ve parola) kaydedeceğim.
2. Dize kaydedeceğim uid = user.getUid(); Kayıt işlemi başarılı olduğunda kendi arka uç sunucumda. Kullanıcı hesabı bilgileri, kullanıcı tarafından arka uç sunucuma anahtar user.getUid() olarak kaydedilir.
3. E-posta ve şifre ile giriş yapın ve bakiyesini sorun.
4. Eşleşme bulundu kullanıcı için denge döndürürse, user.getUid() öğesini firebase'den alıp kayıtlarımla eşleştireceğim.

getUid() 'in benzersiz kullanıcı kimliği olduğunu söylediler, ancak bu değeri arka uç sunucunuzla doğrulamak için KULLANMAYIN.

Neden? Neden backend sunucunuzla kimlik doğrulamak için getUid() kullanamıyoruz?

Answer 1

Kullanıcı kimliği, kullanıcı için benzersiz bir tanımlayıcıdır. Dolayısıyla, kullanıcıyı tanımlarken, onları doğrulamaz.

Yığın Taşımı Kimliğimin 209103 olduğu basit bir sonuçtur. Bilirsiniz, beni tanımlayabilirsiniz. Ancak, Taşma Yığını'nı ispatladığınızı kanıtlamak için, Frank van Puffelen, kimlik bilgilerimi bilmenizi gerektirir.

Bir kullanıcının kimliği çoğunlukla arayüzde açığa çıkar. Örneğin, profilimi tıklarsanız kimliğimi görürsünüz. Bu beni tanımlamak için gereklidir. Kimlik doğrulamak için aynı kimliği de kullanırsanız, profilinizi bir kez gören herkes sizi siteye taklit edebilir. Güvenlik söz konusu olduğunda iyi bir fikir değil.