验证Firebase访问令牌？

Question

当我使用Firebase admin sdk中的createCustomToken生成令牌时，如何在不再次使用SDK的情况下验证该令牌是否有效？

我假设它是有效的OAuth令牌，但找不到签名密钥，因此无法检查完整性。我使用Firebase Auth存储令牌和管理员sdk。

Answer 1

使用Firebase管理员SDK创建的

自定义令牌是使用服务帐户签名的。在默认设置中，服务帐户电子邮件的格式为firebase-adminsdk-bh96s@<YOUR_PROJECT_ID>.iam.gserviceaccount.com。

在https://www.googleapis.com/robot/v1/metadata/x509/<service account email>下，您将找到相应的公共密钥。

另请参阅https://firebase.google.com/docs/auth/admin/create-custom-tokens

Answer 2

Firebase ID令牌是JWT（JSON Web令牌），可以用Firebase Admin SDK或with any other JWT parsing library进行验证。