Аутентификация запросов REST

Firebase SDK выполняет аутентификацию и обмен данными с Firebase Realtime Database от вашего имени. Однако если вы работаете в среде, где нет клиентского SDK, или хотите избежать накладных расходов, связанных с постоянным подключением к базе данных, вы можете использовать REST API Realtime Database для чтения и записи данных.

Выполните аутентификацию пользователей одним из следующих способов:

  1. Токены доступа Google OAuth2. Как правило, возможность чтения и записи в Realtime Database регулируется правилами Realtime Database. Однако вы можете получить доступ к своим данным с сервера и предоставить этому серверу полный доступ на чтение и запись к вашим данным с помощью токена доступа Google OAuth2, сгенерированного из сервисного аккаунта.

  2. Токены Firebase ID. Вы также можете отправлять запросы, аутентифицированные как отдельный пользователь, например ограничивать доступ с помощью правил Realtime Database в клиентских SDK. REST API принимает те же токены идентификации Firebase, что и клиентские SDK.

Токены доступа Google OAuth2

Любые данные, которые можно читать или записывать в соответствии с правилами Realtime Database, также можно читать и записывать через REST API без аутентификации. Однако если вы хотите, чтобы ваш сервер обходил правила Realtime Database, вам необходимо аутентифицировать запросы на чтение и запись. Чтобы выполнить аутентификацию через Google OAuth2, сделайте следующее:

  1. Создайте токен доступа.
  2. Выполните аутентификацию с помощью этого токена доступа.

Как создать токен доступа

Realtime Database REST API принимает стандартные токены доступа Google OAuth2. Токены доступа можно создать с помощью сервисного аккаунта, у которого есть необходимые разрешения для Realtime Database. Если у вас нет файла ключа сервисного аккаунта, вы можете легко создать его, нажав кнопку Создать закрытый ключ внизу раздела Сервисные аккаунты в консоли Firebase.

Получив файл ключа сервисного аккаунта, вы можете использовать одну из клиентских библиотек Google API, чтобы сгенерировать токен доступа Google OAuth2 со следующими необходимыми областями действия:

  • https://www.googleapis.com/auth/userinfo.email
  • https://www.googleapis.com/auth/firebase.database

Ниже приведены примеры реализации, показывающие, как создавать токены доступа Google OAuth2 для аутентификации в REST API Realtime Database на разных языках.

Node.js

Использование клиентской библиотеки API Google для Node.js:

var {google} = require("googleapis");

// Load the service account key JSON file.
var serviceAccount = require("path/to/serviceAccountKey.json");

// Define the required scopes.
var scopes = [
  "https://www.googleapis.com/auth/userinfo.email",
  "https://www.googleapis.com/auth/firebase.database"
];

// Authenticate a JWT client with the service account.
var jwtClient = new google.auth.JWT(
  serviceAccount.client_email,
  null,
  serviceAccount.private_key,
  scopes
);

// Use the JWT client to generate an access token.
jwtClient.authorize(function(error, tokens) {
  if (error) {
    console.log("Error making request to generate access token:", error);
  } else if (tokens.access_token === null) {
    console.log("Provided service account does not have permission to generate access tokens");
  } else {
    var accessToken = tokens.access_token;

    // See the "Using the access token" section below for information
    // on how to use the access token to send authenticated requests to
    // the Realtime Database REST API.
  }
});

Java

Использование клиентской библиотеки API Google для Java:

// Load the service account key JSON file
FileInputStream serviceAccount = new FileInputStream("path/to/serviceAccountKey.json");

// Authenticate a Google credential with the service account
GoogleCredential googleCred = GoogleCredential.fromStream(serviceAccount);

// Add the required scopes to the Google credential
GoogleCredential scoped = googleCred.createScoped(
    Arrays.asList(
      "https://www.googleapis.com/auth/firebase.database",
      "https://www.googleapis.com/auth/userinfo.email"
    )
);

// Use the Google credential to generate an access token
scoped.refreshToken();
String token = scoped.getAccessToken();

// See the "Using the access token" section below for information
// on how to use the access token to send authenticated requests to the
// Realtime Database REST API.

Python

Использование библиотеки google-auth:

from google.oauth2 import service_account
from google.auth.transport.requests import AuthorizedSession

# Define the required scopes
scopes = [
  "https://www.googleapis.com/auth/userinfo.email",
  "https://www.googleapis.com/auth/firebase.database"
]

# Authenticate a credential with the service account
credentials = service_account.Credentials.from_service_account_file(
    "path/to/serviceAccountKey.json", scopes=scopes)

# Use the credentials object to authenticate a Requests session.
authed_session = AuthorizedSession(credentials)
response = authed_session.get(
    "https://<DATABASE_NAME>.firebaseio.com/users/ada/name.json")

# Or, use the token directly, as described in the "Authenticate with an
# access token" section below. (not recommended)
request = google.auth.transport.requests.Request()
credentials.refresh(request)
access_token = credentials.token

Аутентификация с помощью токена доступа

Чтобы отправлять аутентифицированные запросы к REST API Realtime Database, передайте токен доступа Google OAuth2, созданный выше, в качестве заголовка Authorization: Bearer <ACCESS_TOKEN> или параметра строки запроса access_token=<ACCESS_TOKEN>. Вот пример запроса curl для чтения имени пользователя Ada:

curl "https://<DATABASE_NAME>.firebaseio.com/users/ada/name.json?access_token=<ACCESS_TOKEN>"

Замените <DATABASE_NAME> на название вашего Realtime Database, а <ACCESS_TOKEN> – на токен доступа Google OAuth2.

Если запрос выполнен успешно, будет возвращен код статуса HTTP 200 OK. Ответ содержит извлекаемые данные:

{"first":"Ada","last":"Lovelace"}

Токены идентификации Firebase

Когда пользователь или устройство входит в систему с помощью Firebase Authentication, Firebase создает соответствующий токен идентификатора, который уникальным образом идентифицирует их и предоставляет им доступ к нескольким ресурсам, таким как Realtime Database и Cloud Storage. Вы можете повторно использовать этот токен идентификации для аутентификации Realtime Database REST API и отправки запросов от имени этого пользователя.

Как создать токен идентификации

Чтобы получить токен идентификатора Firebase от клиента, выполните действия, описанные в разделе Получение токенов идентификатора от клиентов.

Обратите внимание, что срок действия токенов идентификации истекает через короткий промежуток времени, поэтому их следует использовать как можно быстрее после получения.

Как выполнить аутентификацию с помощью токена идентификации

Чтобы отправлять аутентифицированные запросы к Realtime Database REST API, передайте токен идентификатора, созданный выше, в качестве параметра строки запроса auth=<ID_TOKEN>. Вот пример запроса curl для чтения имени Ады:

curl "https://<DATABASE_NAME>.firebaseio.com/users/ada/name.json?auth=<ID_TOKEN>"

Замените <DATABASE_NAME> на название своего Realtime Database, а <ID_TOKEN> – на токен идентификатора Firebase.

Если запрос выполнен успешно, будет возвращен код статуса HTTP 200 OK. Ответ содержит извлекаемые данные:

{"first":"Ada","last":"Lovelace"}

Устаревшие токены

Если вы все ещё используете устаревшие токены Firebase Authentication, рекомендуем перейти на один из описанных выше способов аутентификации REST.

REST API Realtime Database по-прежнему поддерживает аутентификацию с помощью устаревших токенов, включая секретные ключи. Секретные ключи Realtime Database можно найти в разделе Сервисные аккаунты консоли Firebase.

Секреты – это долгосрочные учетные данные. При удалении из проекта пользователей с доступом к секрету (например, владельцев) рекомендуется создать новый секрет и отозвать существующий.