Utiliser App Check avec le fournisseur de débogage dans les applications Web

Si, après avoir enregistré votre application pour App Check, vous souhaitez l'exécuter dans un environnement que App Check ne classerait normalement pas comme valide, par exemple localement pendant le développement ou à partir d'un environnement d'intégration continue (CI), vous pouvez créer un build de débogage de votre application qui utilise le fournisseur de débogage App Check au lieu d'un véritable fournisseur d'attestation.

Avertissement :Le fournisseur de débogage autorise l'accès à vos ressources Firebase à partir d'appareils non validés. N'utilisez pas le fournisseur de débogage dans les builds de production de votre application et ne partagez pas vos builds de débogage avec des tiers non approuvés.

Utiliser le fournisseur de débogage sur localhost

Pour utiliser le fournisseur de débogage lorsque vous exécutez votre application à partir de localhost (lors du développement, par exemple), procédez comme suit:

Avertissement :N'essayez pas d'activer le débogage localhost en ajoutant localhost aux domaines autorisés de reCAPTCHA. Cela permettrait à n'importe qui d'exécuter votre application depuis ses machines locales.

1. Dans votre build de débogage, activez le mode débogage en définissant self.FIREBASE_APPCHECK_DEBUG_TOKEN sur true avant d'initialiser App Check. Exemple :

   Web

   self.FIREBASE_APPCHECK_DEBUG_TOKEN = true;
   initializeAppCheck(app, { /* App Check options */ });
   

   Web

   self.FIREBASE_APPCHECK_DEBUG_TOKEN = true;
   firebase.appCheck().activate(/* site key or provider */);
   

   Remarque :Dans les versions antérieures à la version 9 du SDK Web Firebase, self.FIREBASE_APPCHECK_DEBUG_TOKEN est lu au moment de l'importation, et non au moment de l'initialisation/de l'activation. Il a donc fallu le définir dans index.html avant le chargement du bundle de code. Pour éviter cette restriction, passez à la version 9.

2. Accédez à votre application Web localement et ouvrez l'outil pour les développeurs du navigateur. Dans la console de débogage, vous verrez un jeton de débogage:

   AppCheck debug token: "123a4567-b89c-12d3-e456-789012345678". You will
   need to safelist it in the Firebase console for it to work.

3. Dans la section App Check de la console Firebase, sélectionnez Gérer les jetons de débogage dans le menu à développer de votre application. Enregistrez ensuite le jeton de débogage que vous avez enregistré à l'étape précédente.

   

Une fois le jeton enregistré, les services backend Firebase l'acceptent comme valide.

Étant donné que ce jeton permet d'accéder à vos ressources Firebase sans appareil valide, vous devez le garder privé. Ne l'ajoutez pas à un dépôt public. Si un jeton enregistré est compromis, révoquez-le immédiatement dans la console Firebase.

Ce jeton est stocké en local dans votre navigateur et sera utilisé chaque fois que vous utiliserez votre application dans le même navigateur sur la même machine. Si vous souhaitez utiliser le jeton dans un autre navigateur ou sur une autre machine, définissez self.FIREBASE_APPCHECK_DEBUG_TOKEN sur la chaîne de jeton au lieu de true.

Utiliser le fournisseur de débogage dans un environnement CI

Pour utiliser le fournisseur de débogage dans un environnement d'intégration continue (CI), procédez comme suit:

1. Dans la section App Check de la console Firebase, sélectionnez Gérer les jetons de débogage dans le menu à développer de votre application. Créez ensuite un jeton de débogage. Vous en aurez besoin à l'étape suivante.

   Étant donné que ce jeton permet d'accéder à vos ressources Firebase sans appareil valide, vous devez le conserver de manière confidentielle. Ne l'ajoutez pas à un dépôt public. Si un jeton enregistré est compromis, révoquez-le immédiatement dans la console Firebase.

   

2. Ajoutez le jeton de débogage que vous venez de créer au magasin de clés sécurisé de votre système de CI (par exemple, les secrets chiffrés de GitHub Actions ou les variables chiffrées de Travis CI).

3. Si nécessaire, configurez votre système CI pour rendre votre jeton de débogage disponible dans l'environnement CI en tant que variable d'environnement. Nommez la variable APP_CHECK_DEBUG_TOKEN_FROM_CI, par exemple.

4. Dans votre build de débogage, activez le mode débogage en définissant self.FIREBASE_APPCHECK_DEBUG_TOKEN sur la valeur de la variable d'environnement du jeton de débogage avant d'importer App Check. Exemple :

   Web

   self.FIREBASE_APPCHECK_DEBUG_TOKEN = process.env.APP_CHECK_DEBUG_TOKEN_FROM_CI;
   initializeAppCheck(app, { /* App Check options */ });
   

   Web

   self.FIREBASE_APPCHECK_DEBUG_TOKEN = process.env.APP_CHECK_DEBUG_TOKEN_FROM_CI;
   firebase.appCheck().activate(/* site key or provider */);
   

Lorsque votre application s'exécute dans un environnement de CI, les services de backend Firebase acceptent le jeton qu'elle envoie comme valide.