Autenticar usando Microsoft no Android

Você pode permitir que seus usuários se autentiquem com o Firebase usando provedores OAuth, como o Microsoft Azure Active Directory, integrando o login OAuth genérico baseado na Web ao seu aplicativo usando o SDK do Firebase para realizar o fluxo de login de ponta a ponta.

Antes de você começar

Para conectar usuários usando contas da Microsoft (Azure Active Directory e contas pessoais da Microsoft), primeiro você deve habilitar a Microsoft como provedor de login para seu projeto do Firebase:

1. Adicione o Firebase ao seu projeto Android .

2. No console do Firebase , abra a seção Auth .
3. Na guia Método de login , habilite o provedor Microsoft .
4. Adicione o ID do cliente e o segredo do cliente do console do desenvolvedor desse provedor à configuração do provedor:
   1. Para registrar um cliente Microsoft OAuth, siga as instruções em Início rápido: registrar um aplicativo com o ponto de extremidade do Azure Active Directory v2.0 . Observe que esse ponto de extremidade dá suporte à entrada usando contas pessoais da Microsoft, bem como contas do Azure Active Directory. Saiba mais sobre o Azure Active Directory v2.0.
   2. Ao registrar aplicativos com esses provedores, registre o domínio *.firebaseapp.com do seu projeto como o domínio de redirecionamento do seu aplicativo.
5. Clique em Salvar .

6. Se você ainda não especificou a impressão digital SHA-1 do seu aplicativo, faça isso na página Configurações do console do Firebase. Consulte Autenticando seu cliente para obter detalhes sobre como obter a impressão digital SHA-1 do seu aplicativo.

Lidar com o fluxo de login com o SDK do Firebase

Se você estiver criando um aplicativo Android, a maneira mais fácil de autenticar seus usuários no Firebase usando suas contas da Microsoft é lidar com todo o fluxo de login com o Firebase Android SDK.

Para lidar com o fluxo de login com o Firebase Android SDK, siga estas etapas:

1. Construa uma instância de um OAuthProvider usando seu Builder com o ID do provedor microsoft.com .

   Kotlin+KTX

   val provider = OAuthProvider.newBuilder("microsoft.com")
   GenericIdpActivity.kt

   Java

   OAuthProvider.Builder provider = OAuthProvider.newBuilder("microsoft.com");
   GenericIdpActivity.java

2. Opcional : Especifique parâmetros OAuth customizados adicionais que você deseja enviar com a solicitação OAuth.

   Kotlin+KTX

   // Target specific email with login hint.
   // Force re-consent.
   provider.addCustomParameter("prompt", "consent")
   
   // Target specific email with login hint.
   provider.addCustomParameter("login_hint", "[e-mail]")
   GenericIdpActivity.kt

   Java

   // Target specific email with login hint.
   // Force re-consent.
   provider.addCustomParameter("prompt", "consent");
   
   // Target specific email with login hint.
   provider.addCustomParameter("login_hint", "[e-mail]");
   GenericIdpActivity.java

   Para os parâmetros suportados pela Microsoft, consulte a documentação do Microsoft OAuth . Observe que você não pode passar parâmetros exigidos pelo Firebase com setCustomParameters() . Esses parâmetros são client_id , Response_Type , Redirect_uri , State , Scope e Response_mode .

   Para permitir que apenas os utilizadores de um determinado inquilino do Azure AD iniciem sessão na aplicação, pode ser utilizado o nome de domínio amigável do inquilino do Azure AD ou o identificador GUID do inquilino. Isso pode ser feito especificando o campo "locatário" no objeto de parâmetros personalizados.

   Kotlin+KTX

   // Optional "tenant" parameter in case you are using an Azure AD tenant.
   // eg. '8eaef023-2b34-4da1-9baa-8bc8c9d6a490' or 'contoso.onmicrosoft.com'
   // or "common" for tenant-independent tokens.
   // The default value is "common".
   provider.addCustomParameter("tenant", "TENANT_ID")
   GenericIdpActivity.kt

   Java

   // Optional "tenant" parameter in case you are using an Azure AD tenant.
   // eg. '8eaef023-2b34-4da1-9baa-8bc8c9d6a490' or 'contoso.onmicrosoft.com'
   // or "common" for tenant-independent tokens.
   // The default value is "common".
   provider.addCustomParameter("tenant", "TENANT_ID");
   GenericIdpActivity.java

3. Opcional : Especifique escopos adicionais do OAuth 2.0 além do perfil básico que você deseja solicitar do provedor de autenticação.

   Kotlin+KTX

   // Request read access to a user's email addresses.
   // This must be preconfigured in the app's API permissions.
   provider.scopes = listOf("mail.read", "calendars.read")
   GenericIdpActivity.kt

   Java

   // Request read access to a user's email addresses.
   // This must be preconfigured in the app's API permissions.
   List<String> scopes =
           new ArrayList<String>() {
               {
                   add("mail.read");
                   add("calendars.read");
               }
           };
   provider.setScopes(scopes);
   GenericIdpActivity.java

   Para saber mais, consulte a documentação de permissões e consentimento da Microsoft .

4. Autentique-se com o Firebase usando o objeto do provedor OAuth. Observe que, diferentemente de outras operações do FirebaseAuth, isso assumirá o controle da sua IU abrindo uma guia personalizada do Chrome . Como resultado, não faça referência à sua atividade no OnSuccessListener e OnFailureListener anexados, pois eles serão desconectados imediatamente quando a operação iniciar a interface do usuário.

   Você deve primeiro verificar se já recebeu uma resposta. O login por meio desse método coloca sua atividade em segundo plano, o que significa que ela pode ser recuperada pelo sistema durante o fluxo de login. Para ter certeza de que o usuário não tentará novamente se isso acontecer, você deve verificar se um resultado já está presente.

   Para verificar se há um resultado pendente, chame getPendingAuthResult :

   Kotlin+KTX

   val pendingResultTask = firebaseAuth.pendingAuthResult
   if (pendingResultTask != null) {
       // There's something already here! Finish the sign-in for your user.
       pendingResultTask
           .addOnSuccessListener {
               // User is signed in.
               // IdP data available in
               // authResult.getAdditionalUserInfo().getProfile().
               // The OAuth access token can also be retrieved:
               // ((OAuthCredential)authResult.getCredential()).getAccessToken().
               // The OAuth secret can be retrieved by calling:
               // ((OAuthCredential)authResult.getCredential()).getSecret().
           }
           .addOnFailureListener {
               // Handle failure.
           }
   } else {
       // There's no pending result so you need to start the sign-in flow.
       // See below.
   }
   GenericIdpActivity.kt

   Java

   Task<AuthResult> pendingResultTask = firebaseAuth.getPendingAuthResult();
   if (pendingResultTask != null) {
       // There's something already here! Finish the sign-in for your user.
       pendingResultTask
               .addOnSuccessListener(
                       new OnSuccessListener<AuthResult>() {
                           @Override
                           public void onSuccess(AuthResult authResult) {
                               // User is signed in.
                               // IdP data available in
                               // authResult.getAdditionalUserInfo().getProfile().
                               // The OAuth access token can also be retrieved:
                               // ((OAuthCredential)authResult.getCredential()).getAccessToken().
                               // The OAuth secret can be retrieved by calling:
                               // ((OAuthCredential)authResult.getCredential()).getSecret().
                           }
                       })
               .addOnFailureListener(
                       new OnFailureListener() {
                           @Override
                           public void onFailure(@NonNull Exception e) {
                               // Handle failure.
                           }
                       });
   } else {
       // There's no pending result so you need to start the sign-in flow.
       // See below.
   }
   GenericIdpActivity.java

   Para iniciar o fluxo de login, chame startActivityForSignInWithProvider :

   Kotlin+KTX

   firebaseAuth
       .startActivityForSignInWithProvider(activity, provider.build())
       .addOnSuccessListener {
           // User is signed in.
           // IdP data available in
           // authResult.getAdditionalUserInfo().getProfile().
           // The OAuth access token can also be retrieved:
           // ((OAuthCredential)authResult.getCredential()).getAccessToken().
           // The OAuth secret can be retrieved by calling:
           // ((OAuthCredential)authResult.getCredential()).getSecret().
       }
       .addOnFailureListener {
           // Handle failure.
       }
   GenericIdpActivity.kt

   Java

   firebaseAuth
           .startActivityForSignInWithProvider(/* activity= */ this, provider.build())
           .addOnSuccessListener(
                   new OnSuccessListener<AuthResult>() {
                       @Override
                       public void onSuccess(AuthResult authResult) {
                           // User is signed in.
                           // IdP data available in
                           // authResult.getAdditionalUserInfo().getProfile().
                           // The OAuth access token can also be retrieved:
                           // ((OAuthCredential)authResult.getCredential()).getAccessToken().
                           // The OAuth secret can be retrieved by calling:
                           // ((OAuthCredential)authResult.getCredential()).getSecret().
                       }
                   })
           .addOnFailureListener(
                   new OnFailureListener() {
                       @Override
                       public void onFailure(@NonNull Exception e) {
                           // Handle failure.
                       }
                   });
   GenericIdpActivity.java

   Após a conclusão bem-sucedida, o token de acesso OAuth associado ao provedor poderá ser recuperado do objeto OAuthCredential retornado.

   Usando o token de acesso OAuth, você pode chamar a API do Microsoft Graph .

   Ao contrário de outros provedores suportados pelo Firebase Auth, a Microsoft não fornece um URL de foto e, em vez disso, os dados binários de uma foto de perfil devem ser solicitados por meio da API Microsoft Graph .

   Além do token de acesso OAuth, o token de ID OAuth do usuário também pode ser recuperado do objeto OAuthCredential . A sub no token de ID é específica do aplicativo e não corresponderá ao identificador de usuário federado usado pelo Firebase Auth e acessível por meio de user.getProviderData().get(0).getUid() . O campo de declaração oid deve ser usado em seu lugar. Ao utilizar um inquilino AZure AD para iniciar sessão, a reivindicação oid será uma correspondência exata. No entanto, para o caso de não locatário, o campo oid é preenchido. Para um ID federado 4b2eabcdefghijkl , o oid terá o formato 00000000-0000-0000-4b2e-abcdefghijkl .

5. Embora os exemplos acima se concentrem em fluxos de entrada, você também tem a capacidade de vincular um provedor Microsoft a um usuário existente usando startActivityForLinkWithProvider . Por exemplo, você pode vincular vários provedores ao mesmo usuário, permitindo que eles façam login com qualquer um deles.

   Kotlin+KTX

   // The user is already signed-in.
   val firebaseUser = firebaseAuth.currentUser!!
   firebaseUser
       .startActivityForLinkWithProvider(activity, provider.build())
       .addOnSuccessListener {
           // Provider credential is linked to the current user.
           // IdP data available in
           // authResult.getAdditionalUserInfo().getProfile().
           // The OAuth access token can also be retrieved:
           // authResult.getCredential().getAccessToken().
           // The OAuth secret can be retrieved by calling:
           // authResult.getCredential().getSecret().
       }
       .addOnFailureListener {
           // Handle failure.
       }
   GenericIdpActivity.kt

   Java

   // The user is already signed-in.
   FirebaseUser firebaseUser = firebaseAuth.getCurrentUser();
   
   firebaseUser
           .startActivityForLinkWithProvider(/* activity= */ this, provider.build())
           .addOnSuccessListener(
                   new OnSuccessListener<AuthResult>() {
                       @Override
                       public void onSuccess(AuthResult authResult) {
                           // Provider credential is linked to the current user.
                           // IdP data available in
                           // authResult.getAdditionalUserInfo().getProfile().
                           // The OAuth access token can also be retrieved:
                           // authResult.getCredential().getAccessToken().
                           // The OAuth secret can be retrieved by calling:
                           // authResult.getCredential().getSecret().
                       }
                   })
           .addOnFailureListener(
                   new OnFailureListener() {
                       @Override
                       public void onFailure(@NonNull Exception e) {
                           // Handle failure.
                       }
                   });
   GenericIdpActivity.java

6. O mesmo padrão pode ser usado com startActivityForReauthenticateWithProvider , que pode ser usado para recuperar novas credenciais para operações confidenciais que exigem login recente.

   Kotlin+KTX

   // The user is already signed-in.
   val firebaseUser = firebaseAuth.currentUser!!
   firebaseUser
       .startActivityForReauthenticateWithProvider(activity, provider.build())
       .addOnSuccessListener {
           // User is re-authenticated with fresh tokens and
           // should be able to perform sensitive operations
           // like account deletion and email or password
           // update.
       }
       .addOnFailureListener {
           // Handle failure.
       }
   GenericIdpActivity.kt

   Java

   // The user is already signed-in.
   FirebaseUser firebaseUser = firebaseAuth.getCurrentUser();
   
   firebaseUser
           .startActivityForReauthenticateWithProvider(/* activity= */ this, provider.build())
           .addOnSuccessListener(
                   new OnSuccessListener<AuthResult>() {
                       @Override
                       public void onSuccess(AuthResult authResult) {
                           // User is re-authenticated with fresh tokens and
                           // should be able to perform sensitive operations
                           // like account deletion and email or password
                           // update.
                       }
                   })
           .addOnFailureListener(
                   new OnFailureListener() {
                       @Override
                       public void onFailure(@NonNull Exception e) {
                           // Handle failure.
                       }
                   });
   GenericIdpActivity.java

Avançado: lidar com o fluxo de login manualmente

Ao contrário de outros provedores OAuth com suporte do Firebase, como Google, Facebook e Twitter, onde o login pode ser feito diretamente com credenciais baseadas em token de acesso OAuth, o Firebase Auth não oferece suporte ao mesmo recurso para provedores como a Microsoft devido à incapacidade do Servidor Firebase Auth para verificar o público dos tokens de acesso Microsoft OAuth. Este é um requisito crítico de segurança e pode expor aplicativos e sites a ataques repetidos em que um token de acesso Microsoft OAuth obtido para um projeto (invasor) pode ser usado para entrar em outro projeto (vítima). Em vez disso, o Firebase Auth oferece a capacidade de lidar com todo o fluxo OAuth e a troca de código de autorização usando o ID do cliente OAuth e o segredo configurados no Firebase Console. Como o código de autorização só pode ser usado em conjunto com um ID/segredo de cliente específico, um código de autorização obtido para um projeto não pode ser usado com outro.

Se for necessário usar esses provedores em ambientes sem suporte, será necessário usar uma biblioteca OAuth de terceiros e uma autenticação personalizada do Firebase . O primeiro é necessário para autenticar com o provedor e o último para trocar a credencial do provedor por um token personalizado.

Próximos passos

Depois que um usuário faz login pela primeira vez, uma nova conta de usuário é criada e vinculada às credenciais (ou seja, nome de usuário e senha, número de telefone ou informações do provedor de autenticação) com as quais o usuário fez login. Essa nova conta é armazenada como parte do seu projeto do Firebase e pode ser usada para identificar um usuário em todos os aplicativos do seu projeto, independentemente de como o usuário faz login.

• Nos seus aplicativos, você pode obter informações básicas do perfil do usuário no objeto FirebaseUser . Consulte Gerenciar usuários .

• Nas regras de segurança do Firebase Realtime Database e do Cloud Storage , você pode obter o ID de usuário exclusivo do usuário conectado na variável auth e usá-lo para controlar quais dados um usuário pode acessar.

Você pode permitir que os usuários façam login no seu aplicativo usando vários provedores de autenticação vinculando as credenciais do provedor de autenticação a uma conta de usuário existente.

Para desconectar um usuário, chame signOut :

Kotlin+KTX

Firebase.auth.signOut()
MainActivity.kt

Java

FirebaseAuth.getInstance().signOut();
MainActivity.java