在Gmail身份验证中“验证idToken”时，后端出现Firebase IOS idToken无效的“kid”异常

Question

我正在使用firebase的Android和IOS应用程序。该应用程序有专门的后端，并在电话/电子邮件认证后使用< code>verifyIdToken方法验证firebase发出的令牌。我正在验证新用户注册的令牌。这个概念在android应用程序上运行良好。当新用户< code >通过身份验证时，将使用Firebase发布的令牌调用注册API，我正在使用< code >服务帐户验证该令牌。但是，对于ios，它会失败，例外情况是< code>kid标头无效。下面是异常跟踪。

A key with ID "3494b1e786cdad092e423766bbe37f54ed87b22d" could not be found. 
{"exception":"[object] (Firebase\\Auth\\Token\\Exception\\UnknownKey(code: 0): 
A key with ID \"3494b1e786cdad092e423766bbe37f54ed87b22d\" could not be found.
at /home/fgx3uhiothty/public_html/vendor/kreait/firebase-tokens/src/Verifier.php:132)

在Firebase Auth Documentation中，明确指出

儿童密钥 ID 必须与 https://www.googleapis.com/robot/v1/metadata/x509/[e-mail] 中列出的公钥之一相对应

当我在解码令牌后用google的公钥检查key3494b1e786cdad092e423766bbe37f54ed87b22d时，我没有找到匹配的儿童。但是，来自ios设备的令牌是由Firebase自己在成功身份验证后发出的。那么ios令牌中怎么可能有不同的儿童标头呢？

我使用kreait/firebase-Tokens-php库从后端访问服务号API。

Answer 1

我敢打赌，你使用的是谷歌id令牌，而不是火基id令牌。你是怎么得到你的偶像令牌的？您可以通过此 api 获得 id令牌： https://firebase.google.com/docs/reference/js/firebase.User#getidtoken

Signin回调函数可能像以下一样。

var signInCb = function(authResult) {
    var uid = authResult.user.uid;
    authResult.user.getIdToken()
        .then( idToken => {
            // You can do some things with idToken here
                ....
        })
}

Answer 2

我发现了问题，由于firebase实现，ios设备中的行为与android不一样。在ios中，firebase将用户重定向到safari浏览器以进行电子邮件登录，然后将流返回到应用程序，这与android的行为完全不同。

我只是四处寻找并解码了Firebase令牌。aud、iss和“孩子”标头不匹配，但看起来像是从web发出的谷歌身份验证令牌，因此我从谷歌查看了Web登录后端身份验证文档，发现了一条线索。我在JWK和PEM中找到了ios Firebase令牌的孩子标头。好吧，我必须使用Google API客户端库并成功验证令牌。

在这种情况下，对于 IOS 设备，火库管理 SDK 官方文档中给出的火库管理 SDK 的验证 IdToken（） 方法将根本不起作用。我认为火基地应该更新他们的文档。经过几次尝试联系他们无法解决问题，相反，他们只是按下下面给出的工具提示，

我建议ios Gmail Auth使用Web后端Auth中给出的方法，而不是使用< code>Firebase Admin SDK的< code>verifyIdToken()。