如何在Python中解码Firebase JWT令牌

Question

我添加了Firebase，允许客户端直接从web应用程序客户端（浏览器）进行身份验证。我正在使用firebase web JS包，它工作得非常好。我可以在浏览器中看到，我收到一个用户对象，其中包含有关该用户的信息，包括idToken。

然后，我需要在我的服务器后端（即python django）上对该用户进行身份验证。在Firebase文档中，我找到了一个我正试图做的操作指南，即验证id令牌。

因为他们没有支持的Firebase sdk for python，所以我需要使用第三方解决方案。我在jwt上找到了python jose包。io站点。这个例子看起来很简单：

jwt.decode(token, 'secret', algorithms=['RS256'])

这是我第一次使用JWT。我不知道如何使用“秘密”。我尝试将id令牌粘贴为令牌，并将Firebase控制台中的web API密钥粘贴为机密，但出现以下错误：

何塞。例外情况。JWKError:不支持RSA密钥格式

我还尝试了JWT调试器，它似乎正确地读取了我的大部分id令牌，但是签名验证正在寻找公共和/或私钥，这就像秘密一样。

我真的不知道如何找到这个秘密，以及如何验证JWT id令牌。Firebase文档（第三方部分）的信息如下：

最后，确保ID令牌由与令牌的kid声明相对应的私钥签名。从中获取公钥https://www.googleapis.com/robot/v1/metadata/x509/securetoken@系统。gserviceaccount。com并使用JWT库来验证签名。在来自该endpoint的响应的缓存控制标头中使用max age的值，以了解何时刷新公钥。

我尝试将googleapis url中的整个json blob粘贴到JWT调试器中，但仍然得到一个“无效签名”警报。我不明白如何使用公钥。

python应该为这种方法工作吗？如果是这样，我应该用什么来保密？如果没有，有人能给我指出正确的方向吗？

谢谢

Answer 1

我终于在这篇文章中找到了我想要的答案：将Python后端从Gitkit迁移到Firebase Auth，使用Python jose进行令牌验证

自发布之日起，python-jose包已经进行了更新，该包为firebase id令牌提供了更好的支持。下面是一些关于如何使用python解码firebase id令牌的工作代码（jose version 1.3.1）：

import urllib, json
from jose import jwt

idtoken = "<id token passed to server from firebase auth>"

target_audience = "<firebase app id>"

certificate_url = 'https://www.googleapis.com/robot/v1/metadata/x509/[e-mail]'

response = urllib.urlopen(certificate_url)
certs = response.read()
certs = json.loads(certs)

#will throw error if not valid
user = jwt.decode(idtoken, certs, algorithms='RS256', audience=target_audience)
print user