Xác thực bằng SAML trong các ứng dụng web

Nếu đã nâng cấp lên tính năng Xác thực Firebase bằng Nền tảng nhận dạng, bạn có thể xác thực người dùng bằng Firebase bằng nhà cung cấp danh tính SAML mà bạn chọn. Nhờ đó, bạn có thể sử dụng giải pháp SSO dựa trên SAML để đăng nhập người dùng vào ứng dụng Firebase của mình.

Tính năng Xác thực Firebase chỉ hỗ trợ quy trình SAML do nhà cung cấp dịch vụ khởi tạo.

Trước khi bắt đầu

Để đăng nhập cho người dùng bằng nhà cung cấp danh tính SAML, trước tiên, bạn phải thu thập một số thông tin từ nhà cung cấp đó:

  • Mã nhận dạng thực thể của nhà cung cấp: URI xác định nhà cung cấp danh tính.
  • URL đăng nhập một lần (SSO) qua SAML của nhà cung cấp: URL của trang đăng nhập của nhà cung cấp danh tính.
  • Chứng chỉ khoá công khai của nhà cung cấp: Chứng chỉ dùng để xác thực mã thông báo do nhà cung cấp danh tính ký.
  • Mã nhận dạng thực thể của ứng dụng: URI xác định ứng dụng của bạn, tức là "nhà cung cấp dịch vụ".

Sau khi bạn có những thông tin trên, hãy bật SAML làm nhà cung cấp dịch vụ đăng nhập cho dự án Firebase của bạn:

  1. Thêm Firebase vào dự án JavaScript của bạn.

  2. Nếu bạn chưa nâng cấp lên tính năng Xác thực Firebase bằng Nền tảng nhận dạng, hãy thực hiện việc này. Tính năng xác thực SAML chỉ có trong các dự án đã nâng cấp.

  3. Trên trang Nhà cung cấp dịch vụ đăng nhập trong bảng điều khiển của Firebase, hãy nhấp vào Thêm nhà cung cấp mới, sau đó nhấp vào SAML.

  4. Đặt tên cho nhà cung cấp này. Lưu ý mã nhà cung cấp được tạo: chẳng hạn như saml.example-provider. Bạn sẽ cần mã nhận dạng này khi thêm mã đăng nhập vào ứng dụng của mình.

  5. Chỉ định mã nhận dạng thực thể, URL SSO và chứng chỉ khoá công khai của nhà cung cấp danh tính. Đồng thời, hãy chỉ định mã nhận dạng thực thể của ứng dụng (nhà cung cấp dịch vụ). Các giá trị này phải khớp chính xác với giá trị mà nhà cung cấp đã chỉ định cho bạn.

  6. Lưu thay đổi.

  7. Nếu bạn chưa uỷ quyền miền của ứng dụng, hãy thêm miền này vào danh sách cho phép trên trang Xác thực > Cài đặt của bảng điều khiển của Firebase.

Xử lý quy trình đăng nhập bằng Firebase SDK

Để xử lý quy trình đăng nhập bằng SDK JavaScript của Firebase, hãy làm theo các bước sau:

  1. Tạo một bản sao của SAMLAuthProvider bằng cách sử dụng mã nhà cung cấp bạn có trong bảng điều khiển của Firebase.

    API mô-đun web 

    import { SAMLAuthProvider } from "firebase/auth";

const provider = new SAMLAuthProvider('saml.example-provider');

    API không gian tên trên web 

    var provider = new firebase.auth.SAMLAuthProvider('saml.example-provider');
``

  1. Xác thực bằng Firebase bằng đối tượng nhà cung cấp SAML.

    Bạn có thể chuyển hướng người dùng đến trang đăng nhập của nhà cung cấp hoặc mở trang đăng nhập trong cửa sổ trình duyệt bật lên.

    Quy trình chuyển hướng

    Chuyển hướng đến trang đăng nhập của nhà cung cấp bằng cách gọi signInWithRedirect():

    API mô-đun web 

    import { getAuth, signInWithRedirect } from "firebase/auth";

const auth = getAuth();
signInWithRedirect(auth, provider);

    API không gian tên trên web 

    firebase.auth().signInWithRedirect(provider);

    Sau khi người dùng hoàn tất quy trình đăng nhập và quay lại ứng dụng, bạn có thể lấy kết quả đăng nhập bằng cách gọi getRedirectResult().

    API mô-đun web 

    import { getAuth, getRedirectResult, SAMLAuthProvider } from "firebase/auth";

const auth = getAuth();
getRedirectResult(auth)
  .then((result) => {
    // User is signed in.

    // Provider data available using getAdditionalUserInfo()
  })
  .catch((error) => {
    // Handle error.
  });

    API không gian tên trên web 

    firebase.auth().getRedirectResult()
  .then((result) => {
    // User is signed in.

    // Provider data available in result.additionalUserInfo.profile,
    // or from the user's ID token obtained from result.user.getIdToken()
    // as an object in the firebase.sign_in_attributes custom claim.
  })
  .catch((error) => {
    // Handle error.
  });

    Quy trình bật lên

    API mô-đun web 

    import { getAuth, signInWithPopup, OAuthProvider } from "firebase/auth";

const auth = getAuth();
signInWithPopup(auth, provider)
  .then((result) => {
    // User is signed in.

    // Provider data available in result.additionalUserInfo.profile,
    // or from the user's ID token obtained from result.user.getIdToken()
    // as an object in the firebase.sign_in_attributes custom claim.
  })
  .catch((error) => {
    // Handle error.
  });

    API không gian tên trên web 

    firebase.auth().signInWithPopup(provider)
  .then((result) => {
    // User is signed in.

    // Provider data available in result.additionalUserInfo.profile,
    // or from the user's ID token obtained from result.user.getIdToken()
    // as an object in the firebase.sign_in_attributes custom claim.
  })
  .catch((error) => {
    // Handle error.
  });

    Mã thông báo mã nhận dạng và đối tượng UserInfo chỉ chứa địa chỉ email của người dùng nếu địa chỉ đó được cung cấp trong thuộc tính NameID của nội dung xác nhận SAML từ nhà cung cấp danh tính:

    <Subject>
  <NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">test@email.com</NameID>
</Subject>

  2. Mặc dù các ví dụ ở trên tập trung vào quy trình đăng nhập, nhưng bạn có thể sử dụng cùng một mẫu để liên kết nhà cung cấp SAML với người dùng hiện tại bằng linkWithRedirect() và linkWithPopup(), đồng thời xác thực lại người dùng bằng reauthenticateWithRedirect() và reauthenticateWithPopup() (có thể dùng để truy xuất thông tin xác thực mới cho các hoạt động nhạy cảm đòi hỏi phải đăng nhập gần đây).