我受命为基于Firebase的Android应用程序构建Web界面。我有一些与数据库交互的端点（云函数）。要访问这些端点，我需要使用电子邮件和密码[1]对用户进行身份验证，检索accessToken
[2]并授权使用Authorization: Bearer {accessToken}标头对端点的每个请求进行授权。

我使用php并竭尽全力想如何在我的应用程序中管理经过身份验证的用户。

我通过php会话中的ajax传输accessToken，以将cURL请求签名到端点。显然，除了使用firebase JS
auth之外，别无其他方法（据我所知[4]）。

我的问题是： 是否足以将其保存accessToken在php会话中，并通过ajax
POST请求将其与每个页面加载进行比较（请参见下面的代码）？在php中，有什么更健壮的策略来解决这个问题？

编辑：一位用户指出，使用带有JWT令牌的经典php会话没有多大意义，我读了有关该主题的文章。那么关于Firebase-
这是要考虑的事情吗？ https://firebase.google.com/docs/auth/admin/manage-
cookies

Firebase
Auth为依赖会话cookie的传统网站提供服务器端会话cookie管理。与客户端短暂的ID令牌相比，此解决方案具有多个优点，客户端短暂的ID令牌可能每次需要使用重定向机制来在到期时更新会话cookie：

这是我得到的：

1.登录页面

如Firebase示例中所述[3]

function initApp() {

  firebase.auth().onAuthStateChanged(function (user) {
    if (user) {
      // User is signed in.

      // obtain token, getIdToken(false) = no forced refresh
      firebase.auth().currentUser.getIdToken(false).then(function (idToken) {

        // Send token to your backend via HTTPS
        $.ajax({
          type: 'POST',
          url: '/auth/check',
          data: {'token': idToken},
          complete: function(data){
            // data = {'target' => '/redirect/to/route'}
            if(getProperty(data, 'responseJSON.target', false)){
              window.location.replace(getProperty(data, 'responseJSON.target'));
            }
          }
        });
        // ...
      }).catch(function (error) {
        console.log(error);
      });


    } else {
      // User Signed out
      $.ajax({
        type: 'POST',
        url: '/auth/logout',

        complete: function(data){
          // data = {'target' => '/redirect/to/route'}
          if(getProperty(data, 'responseJSON.target', false)){
            // don't redirect to itself
            // logout => /
            if(window.location.pathname != getProperty(data, 'responseJSON.target', false)){
              window.location.replace(getProperty(data, 'responseJSON.target'));
            }
          }
        }
      });

      // User is signed out.
    }

  });
}

window.onload = function () {
  initApp();
};

2.一个PHP控制器来处理身份验证请求

public function auth($action)
{

  switch($action) {
    // auth/logout
    case 'logout':

      unset($_SESSION);
      // some http status header and mime type header
      echo json_encode(['target' => '/']); // / => index page
    break;

    case 'check':

      // login.
      if(! empty($_POST['token']) && empty($_SESSION['token'])){

        // What if I send some bogus data here? The call to the Endpoint later would fail anyway
        // But should it get so far?

        $_SESSION['token'] = $_POST['token'];

        // send a redirect target back to the JS
        echo json_encode(['target' => '/dashboard']);
        break;
      }


      if($_POST['token'] == $_SESSION['token']){
        // do nothing;
        break;
      }
    break;
  }
}

3.主控制器

// pseudo code
class App
{
  public function __construct()
  {
    if($_SESSION['token']){
      $client = new \GuzzleHttp\Client();
      // $user now holds all custom access rights within the app.
      $this->user = $client->request(
        'GET', 
        'https://us-centralx-xyz.cloudfunctions.net/user_endpoint',
        ['headers' => 
                [
                    'Authorization' => "Bearer {$_SESSION['token']}"
                ]
            ]
        )->getBody()->getContents();
    }else{
      $this->user = null;
    }
  }

  public function dashboard(){
    if($this->user){
      var_dump($this->user);
    }else{
      unset($_SESSION);
      // redirect to '/' 
    }
  }
}

注意：我知道这个sdk https://github.com/kreait/firebase-
php，我在那里读了很多文章，在SO上的文章里也读到很多，但是我很困惑，因为这里有关于完全管理员的讨论。权限等。我实际上仅与基于Firebase的端点进行交互（加上firebase
auth和firestore）。而且我仍然在php 5.6上：-/

谢谢你的时间！

• [1]：https：//firebase.google.com/docs/auth/web/password-auth
• [2]：https : //firebase.google.com/docs/reference/js/firebase.User#getIdToken
• [3]：https：//github.com/firebase/quickstart-js/blob/master/auth/email-password.html
• [4]：https：//github.com/kreait/firebase-php/issues/159#issuecomment-360225655