Firebase自定义身份验证：JavaScript中Firebase机密的安全性

Question

我想在我的Angular应用中使用Firebase Custom Authentication。这个动作非常简单：

<input type="text"  name="vin" id="vin" class="form-control"
 ng-model="vm.user.vin" ng-list required max-length="3"/>

但是在文档页面中有关于Firebase Secret安全性的警告：

  

应始终在受信任的服务器上生成Firebase JWT   可以保留生成它们所需的Firebase应用程序密钥   私有的。

我想知道如果每个人都可以查看我的JavaScript源代码并在那里阅读Firebase Secret，我怎么能保持我的Firebase密钥私有？我错过了什么或者没有可能在JavaScript中这样做吗？

Answer 1

您引用的代码将在您的nodejs 服务器上运行（因此 - 服务器端javascript）。
服务器组件FirebaseTokenGenerator负责生成令牌并将其发送回JS客户端， 客户端已通过服务器验证后，使用任何方法想。这就是为什么它被命名为自定义身份验证。