使用 Microsoft 进行身份验证 (Android)

要让您的用户能够使用 OAuth 提供方（如 Microsoft Azure Active Directory）进行 Firebase 身份验证，您可以使用 Firebase SDK 执行端到端登录流程，将基于网页的通用 OAuth 登录机制集成到您的应用中。

准备工作

为了让用户通过 Microsoft 帐号（Azure Active Directory 和个人 Microsoft 帐号）登录，您必须先启用 Microsoft 作为您的 Firebase 项目的登录服务提供方：

将 Firebase 添加到您的 Android 项目。
在 Firebase 控制台中，打开 Auth 部分。
在 Sign in method（登录方法）标签页中，启用 Microsoft 提供方。
将该提供方的开发者控制台中的客户端 ID 和客户端密钥添加至提供方配置：
1. 如需注册 Microsoft OAuth 客户端，请按照快速入门：使用 Azure Active Directory v2.0 端点注册应用中的说明进行操作。请注意，此端点同时支持使用 Microsoft 个人帐号和 Azure Active Directory 帐号进行登录。详细了解 Azure Active Directory v2.0。
2. 向这些提供方注册应用时，请务必将项目的 *.firebaseapp.com 网域注册为应用的重定向网域。
点击保存。
如果您尚未指定应用的 SHA-1 指纹，请在 Firebase 控制台的设置页面中指定。如需详细了解如何获取您的应用的 SHA-1 指纹，请参阅对客户端进行身份验证。

使用 Firebase SDK 处理登录流程

如果您是在构建 Android 应用，想要通过用户的 Microsoft 帐号对其进行 Firebase 身份验证，最简单的方法是使用 Firebase Android SDK 来处理整个登录流程。

如需使用 Firebase Android SDK 处理登录流程，请按以下步骤操作：

使用提供方 ID microsoft.com，通过其 Builder 构建 OAuthProvider 实例。

Kotlin+KTX

val provider = OAuthProvider.newBuilder("microsoft.com")GenericIdpActivity.kt

Java

OAuthProvider.Builder provider = OAuthProvider.newBuilder("microsoft.com");GenericIdpActivity.java

可选：指定您希望通过 OAuth 请求发送的其他自定义 OAuth 参数。

Kotlin+KTX

// Target specific email with login hint.
// Force re-consent.
provider.addCustomParameter("prompt", "consent")

// Target specific email with login hint.
provider.addCustomParameter("login_hint", "user@firstadd.onmicrosoft.com")GenericIdpActivity.kt

Java

// Target specific email with login hint.
// Force re-consent.
provider.addCustomParameter("prompt", "consent");

// Target specific email with login hint.
provider.addCustomParameter("login_hint", "user@firstadd.onmicrosoft.com");GenericIdpActivity.java

如需查看 Microsoft 支持的参数，请参阅 Microsoft OAuth 文档。请注意，您不能使用 setCustomParameters() 传递 Firebase 必需的参数。这些参数包括 client_id、response_type、redirect_uri、state、scope 和 response_mode。

如需仅允许来自特定 Azure AD 租户的用户登录应用，可以使用 Azure AD 租户的易记域名或该租户的 GUID 标识符。为此，您可以在自定义参数对象中指定“tenant”字段。

Kotlin+KTX

// Optional "tenant" parameter in case you are using an Azure AD tenant.
// eg. '8eaef023-2b34-4da1-9baa-8bc8c9d6a490' or 'contoso.onmicrosoft.com'
// or "common" for tenant-independent tokens.
// The default value is "common".
provider.addCustomParameter("tenant", "TENANT_ID")GenericIdpActivity.kt

Java

// Optional "tenant" parameter in case you are using an Azure AD tenant.
// eg. '8eaef023-2b34-4da1-9baa-8bc8c9d6a490' or 'contoso.onmicrosoft.com'
// or "common" for tenant-independent tokens.
// The default value is "common".
provider.addCustomParameter("tenant", "TENANT_ID");GenericIdpActivity.java

可选：指定您希望向身份验证提供方申请获取的基本个人资料以外的额外 OAuth 2.0 范围。

Kotlin+KTX

// Request read access to a user's email addresses.
// This must be preconfigured in the app's API permissions.
provider.scopes = listOf("mail.read", "calendars.read")GenericIdpActivity.kt

Java

// Request read access to a user's email addresses.
// This must be preconfigured in the app's API permissions.
List<String> scopes =
        new ArrayList<String>() {
            {
                add("mail.read");
                add("calendars.read");
            }
        };
provider.setScopes(scopes);GenericIdpActivity.java

如需了解详情，请参阅 Microsoft 权限和许可文档。

使用 OAuth 提供方对象进行 Firebase 身份验证。请注意，与其他 FirebaseAuth 操作不同，此操作会弹出自定义 Chrome 标签页，从而控制您的界面。因此，请不要在您附加的 OnSuccessListener 和 OnFailureListener 中引用您的 Activity，因为当该操作启动界面时，它们会立即分离。

您应该首先检查是否已收到响应。通过这种方法登录时，您的 Activity 将位于后台，这意味着系统可以在登录流程中将其回收。为了确保发生这种情况时不让用户重新尝试，您应该检查是否已经有结果。

如需检查是否存在待处理的结果，请调用 getPendingAuthResult：

Kotlin+KTX

val pendingResultTask = firebaseAuth.pendingAuthResult
if (pendingResultTask != null) {
    // There's something already here! Finish the sign-in for your user.
    pendingResultTask
        .addOnSuccessListener {
            // User is signed in.
            // IdP data available in
            // authResult.getAdditionalUserInfo().getProfile().
            // The OAuth access token can also be retrieved:
            // ((OAuthCredential)authResult.getCredential()).getAccessToken().
            // The OAuth secret can be retrieved by calling:
            // ((OAuthCredential)authResult.getCredential()).getSecret().
        }
        .addOnFailureListener {
            // Handle failure.
        }
} else {
    // There's no pending result so you need to start the sign-in flow.
    // See below.
}GenericIdpActivity.kt

Java

Task<AuthResult> pendingResultTask = firebaseAuth.getPendingAuthResult();
if (pendingResultTask != null) {
    // There's something already here! Finish the sign-in for your user.
    pendingResultTask
            .addOnSuccessListener(
                    new OnSuccessListener<AuthResult>() {
                        @Override
                        public void onSuccess(AuthResult authResult) {
                            // User is signed in.
                            // IdP data available in
                            // authResult.getAdditionalUserInfo().getProfile().
                            // The OAuth access token can also be retrieved:
                            // ((OAuthCredential)authResult.getCredential()).getAccessToken().
                            // The OAuth secret can be retrieved by calling:
                            // ((OAuthCredential)authResult.getCredential()).getSecret().
                        }
                    })
            .addOnFailureListener(
                    new OnFailureListener() {
                        @Override
                        public void onFailure(@NonNull Exception e) {
                            // Handle failure.
                        }
                    });
} else {
    // There's no pending result so you need to start the sign-in flow.
    // See below.
}GenericIdpActivity.java

如需启动登录流程，请调用 startActivityForSignInWithProvider：

Kotlin+KTX

firebaseAuth
    .startActivityForSignInWithProvider(activity, provider.build())
    .addOnSuccessListener {
        // User is signed in.
        // IdP data available in
        // authResult.getAdditionalUserInfo().getProfile().
        // The OAuth access token can also be retrieved:
        // ((OAuthCredential)authResult.getCredential()).getAccessToken().
        // The OAuth secret can be retrieved by calling:
        // ((OAuthCredential)authResult.getCredential()).getSecret().
    }
    .addOnFailureListener {
        // Handle failure.
    }GenericIdpActivity.kt

Java

firebaseAuth
        .startActivityForSignInWithProvider(/* activity= */ this, provider.build())
        .addOnSuccessListener(
                new OnSuccessListener<AuthResult>() {
                    @Override
                    public void onSuccess(AuthResult authResult) {
                        // User is signed in.
                        // IdP data available in
                        // authResult.getAdditionalUserInfo().getProfile().
                        // The OAuth access token can also be retrieved:
                        // ((OAuthCredential)authResult.getCredential()).getAccessToken().
                        // The OAuth secret can be retrieved by calling:
                        // ((OAuthCredential)authResult.getCredential()).getSecret().
                    }
                })
        .addOnFailureListener(
                new OnFailureListener() {
                    @Override
                    public void onFailure(@NonNull Exception e) {
                        // Handle failure.
                    }
                });GenericIdpActivity.java

成功完成后，可以从返回的 OAuthCredential 对象检索与提供方关联的 OAuth 访问令牌。

使用 OAuth 访问令牌，您可以调用 Microsoft Graph API。

与 Firebase Authentication 支持的其他提供方不同，Microsoft 不提供照片网址，您必须通过 Microsoft Graph API 来请求个人资料照片的二进制数据。

除了 OAuth 访问令牌，您还可以从 OAuthCredential 对象检索用户的 OAuth ID 令牌。ID 令牌中的 sub 声明取决于具体应用，该声明与 Firebase Auth 所使用的可通过 user.getProviderData().get(0).getUid() 访问的联合用户标识符不匹配。应改用 oid 声明字段。使用 Azure AD 租户登录时，oid 声明将完全匹配。不过，对于非租户，系统将用无效信息填充 oid 字段。对于联合 ID 4b2eabcdefghijkl，oid 的格式为 00000000-0000-0000-4b2e-abcdefghijkl。

以上示例侧重的是登录流程。除此之外，您也可以使用 startActivityForLinkWithProvider 将 Microsoft 提供方与现有用户相关联。例如，您可以将多个提供方关联至同一个用户，让用户可以使用任意一个提供方进行登录。

Kotlin+KTX

// The user is already signed-in.
val firebaseUser = firebaseAuth.currentUser!!
firebaseUser
    .startActivityForLinkWithProvider(activity, provider.build())
    .addOnSuccessListener {
        // Provider credential is linked to the current user.
        // IdP data available in
        // authResult.getAdditionalUserInfo().getProfile().
        // The OAuth access token can also be retrieved:
        // authResult.getCredential().getAccessToken().
        // The OAuth secret can be retrieved by calling:
        // authResult.getCredential().getSecret().
    }
    .addOnFailureListener {
        // Handle failure.
    }GenericIdpActivity.kt

Java

// The user is already signed-in.
FirebaseUser firebaseUser = firebaseAuth.getCurrentUser();

firebaseUser
        .startActivityForLinkWithProvider(/* activity= */ this, provider.build())
        .addOnSuccessListener(
                new OnSuccessListener<AuthResult>() {
                    @Override
                    public void onSuccess(AuthResult authResult) {
                        // Provider credential is linked to the current user.
                        // IdP data available in
                        // authResult.getAdditionalUserInfo().getProfile().
                        // The OAuth access token can also be retrieved:
                        // authResult.getCredential().getAccessToken().
                        // The OAuth secret can be retrieved by calling:
                        // authResult.getCredential().getSecret().
                    }
                })
        .addOnFailureListener(
                new OnFailureListener() {
                    @Override
                    public void onFailure(@NonNull Exception e) {
                        // Handle failure.
                    }
                });GenericIdpActivity.java

上述模式同样适用于 startActivityForReauthenticateWithProvider，对于要求用户必须在近期内登录过才能执行的敏感操作，可使用它来检索新的凭据。

Kotlin+KTX

// The user is already signed-in.
val firebaseUser = firebaseAuth.currentUser!!
firebaseUser
    .startActivityForReauthenticateWithProvider(activity, provider.build())
    .addOnSuccessListener {
        // User is re-authenticated with fresh tokens and
        // should be able to perform sensitive operations
        // like account deletion and email or password
        // update.
    }
    .addOnFailureListener {
        // Handle failure.
    }GenericIdpActivity.kt

Java

// The user is already signed-in.
FirebaseUser firebaseUser = firebaseAuth.getCurrentUser();

firebaseUser
        .startActivityForReauthenticateWithProvider(/* activity= */ this, provider.build())
        .addOnSuccessListener(
                new OnSuccessListener<AuthResult>() {
                    @Override
                    public void onSuccess(AuthResult authResult) {
                        // User is re-authenticated with fresh tokens and
                        // should be able to perform sensitive operations
                        // like account deletion and email or password
                        // update.
                    }
                })
        .addOnFailureListener(
                new OnFailureListener() {
                    @Override
                    public void onFailure(@NonNull Exception e) {
                        // Handle failure.
                    }
                });GenericIdpActivity.java

Firebase 支持的其他 OAuth 提供方（如 Google、Facebook 和 Twitter）可以通过基于 OAuth 访问令牌的凭据直接实现登录，Firebase Auth 则不同。由于 Firebase Auth 服务器无法验证 Microsoft 等提供方的 OAuth 访问令牌的目标设备，因此 Firebase Auth 不支持通过这些提供方直接登录。这是一项关键的安全要求，不满足该要求的应用和网站可能会受到重放攻击的威胁。在这种情况下，为某个项目（攻击者）获取的 Microsoft OAuth 访问令牌可能被用来登录另一个项目（受害者）。因此，Firebase Auth 改为提供另一种功能，即使用在 Firebase 控制台中配置的 OAuth 客户端 ID 和密钥来处理整个 OAuth 流程和授权代码交换。由于授权代码只能与特定客户端 ID/密钥结合使用，因此为某个项目获取的授权代码不能用于另一个项目。

如果需要在不受支持的环境中使用这些提供方，则需使用第三方 OAuth 库和 Firebase 自定义身份验证。前者在通过提供方进行身份验证时需要用到，后者则用于将提供方的凭据交换成自定义令牌。

后续步骤

在用户首次登录后，系统会创建一个新的用户帐号，并将其与该用户登录时使用的凭据（即用户名和密码、电话号码或者身份验证提供方信息）相关联。此新帐号存储在您的 Firebase 项目中，无论用户采用何种方式登录，您项目中的每个应用都可以使用此帐号来识别用户。

在您的应用中，您可以从 FirebaseUser 对象获取用户的基本个人资料信息。请参阅管理用户。
在您的 Firebase Realtime Database 和 Cloud Storage 安全规则中，您可以从 auth 变量获取已登录用户的唯一用户 ID，然后利用此 ID 来控制用户可以访问哪些数据。

您可以将多个身份验证提供方凭据与一个现有用户帐号关联，让用户可以使用多个身份验证提供方登录您的应用。

如需将用户退出登录，请调用 signOut：

Kotlin+KTX

Firebase.auth.signOut()MainActivity.kt

Java

FirebaseAuth.getInstance().signOut();MainActivity.java

使用 Microsoft 进行身份验证 (Android)

准备工作

使用 Firebase SDK 处理登录流程

Kotlin+KTX

Java

Kotlin+KTX

Java

Kotlin+KTX

Java

Kotlin+KTX

Java

Kotlin+KTX

Java

Kotlin+KTX

Java

Kotlin+KTX

Java

Kotlin+KTX

Java

高级：手动处理登录流程

后续步骤

Kotlin+KTX

Java