2016年5月,我们发布了最新版本的Google Identity Toolkit作为Firebase身份验证; 2019年4月,我们发布了Google Cloud的Identity Platform 。这些产品包括升级的客户端SDK,开源UI库,会话管理和用于忘记密码流的集成电子邮件发送服务。

20206月30日,此页面和API设置页面上记录的SDK将停止运行。 (Identity Platform和Firebase身份验证使用的https://identitytoolkit.googleapis.com/...https://securetoken.googleapis.com/...端点将继续运行。)

要从Identity Toolkit迁移现有项目,请参阅《 Identity Platform迁移指南》或《 Firebase身份验证迁移指南》

从 Google Identity Toolkit 迁移到 Firebase 身份验证

最新版本的 Google Identity Toolkit 已发布为 Firebase Authentication。 今后,Identity Toolkit 中的功能工作将冻结,所有新功能开发都将在 Firebase Authentication 中完成。我们鼓励 Identity Toolkit 开发者尽快在其应用中采用 Firebase Authentication;而 Identity Toolkit 将继续工作,如未另行通知,将被弃用。

新功能

与 Google Identity Toolkit 相比,Firebase Authentication 具有一些重要的功能增强功能:

  • 访问所有 Firebase

    Firebase 是一个移动平台,可助您快速开发高品质应用、扩大用户群并赚取更多收入。Firebase 由很多相得益彰的功能组成,可以满足您的需要并与之匹配,它包含用于以下用途的基础架构:移动分析云消息传递实时数据库文件存储静态托管远程配置、移动崩溃报告和 Android 测试

  • 更新了界面

    我们已根据 Google 最新的用户体验研究重新构建了界面流程。这包括密码恢复、帐号关联、新的/现有的帐号消除歧义流程(通常需要花费大量时间进行编码和调试)。它集成了 Android 上的 Smart Lock(密码专用),大大提升了参与该计划的应用的登录和注册转化。此外,它还支持轻松修改主题以匹配您的应用,并且为实现最高可定制性,AndroidiOS 版本均已开放源代码。

  • 简化的服务器设置

    开发者可以更轻松地使用 Firebase Authentication。我们发现,许多开发者通过 Identity Toolkit 选择不实现电子邮件恢复流程,因此在用户忘记密码时,无法恢复他们的帐号。Firebase Authentication 可以向用户发送电子邮件验证、密码重置和已更改的密码消息,并且您可以轻松地向用户自定义文本。此外,您不再需要托管用于托管重定向和完成密码更改操作的界面 widget

  • 新版管理控制台

    Firebase 有一个新的开发者控制台,您可以通过“身份验证”部分查看、修改和删除自己的用户。这非常有助于调试您的登录和注册流程。 借助控制台,您还可以配置身份验证方法和自定义电子邮件模板。

  • 新 SDK

    每个我们的客户端库(Android、iOS、Web)现在都原生提供 Identity Identity 的所有服务器 API。开发者无需登录固定界面,即可登录和注册新老用户、访问用户属性、关联、更新和删除帐号、重置密码等。 如果您愿意,也可以在此 API 的基础上手动构建您自己的整个登录流程和体验。

  • 针对移动应用的会话管理

    使用 Identity Toolkit 时,应用会根据 Identity Toolkit 的初始身份验证事件创建自己的会话状态。Firebase Authentication 使用一项后端服务,从刷新事件中创建一个刷新令牌,并使用该令牌交换 Android、iOS 和 JavaScript 时长一小时的访问令牌。当用户更改密码时,刷新令牌将无法再生成新的访问令牌,因此,会禁止用户在该设备上重新进行身份验证。

  • 匿名和 GitHub 身份验证

    Firebase Authentication 支持两种新的身份验证类型:GitHub 和匿名。匿名登录可用于创建唯一的用户 ID,而无需用户完成任何登录或注册流程。现在,对于匿名用户,您可以像对待普通用户一样进行经过身份验证的 API 调用。当用户决定注册帐号时,系统会保留同一用户 ID 的所有 activity。这非常适合服务器端购物车或您希望通过注册流程引导用户的任何应用。

功能差异

Firebase Authentication 目前不支持部分 Identity Toolkit 功能,其他功能则已经过重新设计,其工作原理也有所不同。 如果这些功能对您的应用很重要,您可以选择不立即迁移。在许多情况下,这些功能可能对您的应用不重要,或者有简单的回退可让您继续迁移。

服务器端差异

核心 Identity Toolkit 服务及其底层 REST API、帐号验证逻辑和主要用户数据库仅进行了细微更新。 但是,一些功能以及您将 Firebase Authentication 集成到服务中的方式发生了变化。

  • 身份提供商

    不支持 PayPal 和 AOL。通过这些 IdP 使用帐号的用户可以通过密码恢复流程登录您的应用,并为其帐号设置密码。

  • 服务器库

    目前有适用于 Java、Node.js、Python、Go 和 C# 的 Firebase Admin SDK

  • 帐号管理电子邮件

    密码重置、电子邮件验证和电子邮件更改消息可以由 Firebase 或从开发者自己的邮件服务器执行。目前,Firebase 电子邮件模板仅支持有限自定义。

  • 确认电子邮件地址变更

    在 Identity Toolkit 中,当用户决定更改其电子邮件地址时,会向新地址发送一封电子邮件,其中包含继续电子邮件地址更改流程的链接。

    Firebase 会向该旧电子邮件地址发送一条撤消通知的链接,以撤消更改,以确认电子邮件地址变更。

  • IdP 发布

    Identity Toolkit 能够逐步将登录提供方添加到登录系统,以便您试验支持请求的影响。Firebase Authentication 中已移除此功能。

客户端差异

在 Firebase 中,Google Identity Toolkit 提供的功能分为两部分:

  • Firebase Authentication SDK

    在 Firebase Authentication 中,Identity Toolkit 的 REST API 提供的功能已打包到适用于 Android、iOS 和 JavaScript 的客户端 SDK 中。您可以使用该 SDK 登录和注册用户、访问用户个人资料信息、关联、更新和删除帐号,以及使用客户端 SDK 重置密码,而不是通过 REST 调用与后端服务进行通信。

  • FirebaseUI 身份验证

    使用 Frebase Authentication SDK 重新构建了用于管理登录、注册、密码恢复和帐号关联的所有界面流程。它们可作为 iOS 和 Android 的开源 SDK 使用,使您能够使用 Identity Toolkit 无法完全自定义流程。

其他差异包括:

  • 会话和迁移

    由于会话在 Identity Toolkit 和 Firebase Authentication 中的管理方式不同,因此在升级 SDK 后,用户的现有会话将被终止,您的用户必须重新登录。

准备工作

从 Identity Toolkit 迁移到 Firebase Authentication 之前,您必须

  1. 打开 Firebase 控制台,点击导入 Google 项目 (Import Google Project),然后选择您的 Identity Toolkit 项目。

  2. 依次点击 > 权限,打开“IAM 和管理”页面。

  3. 打开服务帐号页面。在这里,您可以看到之前为 Identity Toolkit 配置的服务帐号。

  4. 点击相应服务帐号旁边的 > 创建密钥。然后,在创建私钥对话框中,将密钥类型设置为 JSON,并点击创建。系统会自动为您下载包含服务帐号凭据的 JSON 文件。在下一步中,您需要使用它来初始化 SDK。

  5. 返回 Firebase 控制台。 在“身份验证”部分打开电子邮件模板页面。在此页面上,您可以自定义应用的电子邮件模板。

    在 Identity Toolkit 中,当用户重置密码、更改电子邮件地址并验证其电子邮件地址时,您需要从 Identity Toolkit 服务器获取 OOB 代码,然后通过电子邮件将该代码发送给用户。Firebase 会根据您配置的模板发送电子邮件,而无需您执行任何其他操作。

  6. 可选:如果您需要在服务器上访问 Firebase 服务,请安装 Firebase SDK。

    1. 您可以使用 npm 安装 Firebase Node.js 模块:

      $ npm init
      $ npm install --save firebase-admin
      
    2. 在您的代码中,可以使用以下代码访问 Firebase:

      var admin = require('firebase-admin');
      var app = admin.initializeApp({
        credential: admin.credential.cert('path/to/serviceAccountCredentials.json')
      });
      

接下来,完成应用平台的迁移步骤:AndroidiOSWeb

服务器和 JavaScript

显著变化

与 Identity Toolkit 的 Firebase 网页实现相比,二者还有其他一些区别。

  • 网络会话管理

    以前,当用户使用 Identity Toolkit widget 进行身份验证时,系统会为用户设置用于引导会话的 Cookie。该 Cookie 具有两周的生命周期,用于让用户使用帐号管理微件更改密码和电子邮件地址。某些网站使用此 Cookie 对网站上的所有其他网页请求进行身份验证。其他网站使用 Cookie 通过其框架的 Cookie 管理系统创建自己的 Cookie。

    Firebase 客户端 SDK 现在可管理 Firebase ID 令牌,并且可与 Firebase Authentication 的后端配合使用,以确保会话保持最新状态。当发生重要帐号更改(例如用户密码更改)时,后端会过期。在 Web 客户端上,Firebase ID 令牌不会自动设置为 Cookie,并且其生命周期只有一小时。除非您只需要一个小时的会话,否则 Firebase ID 令牌适合用作 Cookie 来验证您的所有页面请求。相反,您需要设置监听器,以便在用户登录时、获取 Firebase ID 令牌验证令牌,并通过框架的 Cookie 管理系统创建自己的 Cookie。

    您需要根据应用的安全需求设置 Cookie 的会话生命周期。

  • Web 登录流程

    以前,用户登录时,系统会将其重定向到 accountchooser.com,以了解用户想要使用的标识符。Firebase Auth 界面的流程现在从登录方法列表开始,其中包括转到 accountchooser.com(Web 版)并使用 hintRequest API (Android) 的电子邮件选项。此外,在 Firebase 界面中不再需要电子邮件地址。这样就可以更轻松地支持匿名用户、自定义身份验证用户或不需要电子邮件地址的提供商的用户。

  • 帐号管理微件

    此 widget 提供了一个界面,供用户更改电子邮件地址、更改密码或解除其帐号与身份提供方的关联。此功能目前正在开发中。

  • 登录按钮/微件

    登录按钮和用户卡片等微件不再可用。您可以使用 Firebase Authentication API 非常轻松地构建这些 API。

  • 无 signOutUrl

    您需要调用 firebase.auth.signOut() 并处理回调。

  • 没有 oobActionUrl

    电子邮件发送现在由 Firebase 处理,并在 Firebase 控制台中进行配置。

  • CSS 自定义

    FirebaseUI 使用 Material Design Lite 样式,该样式可动态添加 Material Design 动画。

第 1 步:更改服务器代码

  1. 如果您的服务器依赖 Identity Toolkit 令牌(有效期为两周)来管理 Web 用户会话,您需要转换服务器以使用其自己的会话 Cookie。

    1. 实现一个端点,用于验证 Firebase ID 令牌并为用户设置会话 Cookie。客户端应用将 Firebase ID 令牌发送到此端点。
    2. 如果传入的请求包含您自己的会话 Cookie,您可以将该用户视为已通过身份验证。否则,请将请求视为未经身份验证。
    3. 如果您不希望任何用户的现有登录会话丢失,则应等待两周,以便所有 Identity Toolkit 令牌到期,或者按照下文第 3 步中的说明为您的 Web 应用进行双令牌验证。
  2. 接下来,由于 Firebase 令牌与 Identity Toolkit 令牌不同,因此您必须更新令牌验证逻辑。将 Firebase Server SDK 安装到您的服务器;或者,如果您使用 Firebase Server SDK 不支持的语言,请为您的环境下载 JWT 令牌验证库并正确验证令牌

  3. 当您首次进行上述更新时,可能仍会有依赖 Identity Toolkit 令牌的代码路径。如果您有 iOS 或 Android 应用,用户需要升级到新版本的应用,这样新的代码路径才能正常运行。如果您不想强制用户更新您的应用,则可以添加其他服务器验证逻辑,用于检查令牌并确定是使用 Firebase SDK 还是 Identity Toolkit SDK 验证令牌。如果您只有一个 Web 应用,则所有新的身份验证请求都将转移到 Firebase,因此您只需使用 Firebase 令牌验证方法。

请参阅 Firebase Web API 参考文档

第 2 步:更新 HTML

  1. 将 Firebase 初始化代码添加到您的应用中:

    1. Firebase 控制台中打开您的项目。
    2. 在“概览”页面上,点击 Add App,然后点击 Add Firebase to your web app。系统会显示初始化 Firebase 的代码段。
    3. 将初始化代码段复制并粘贴到您的网页中。
  2. FirebaseUI 身份验证添加到您的应用中:

    <script src="https://www.gstatic.com/firebasejs/ui/live/0.4/firebase-ui-auth.js"></script>
    <link type="text/css" rel="stylesheet" href="https://www.gstatic.com/firebasejs/ui/live/0.4/firebase-ui-auth.css" />
    <!-- *******************************************************************************************
       * TODO(DEVELOPER): Paste the initialization snippet from:
       * Firebase Console > Overview > Add Firebase to your web app. *
       ***************************************************************************************** -->
    <script type="text/javascript">
      // FirebaseUI config.
      var uiConfig = {
        'signInSuccessUrl': '<url-to-redirect-to-on-success>',
        'signInOptions': [
          // Leave the lines as is for the providers you want to offer your users.
          firebase.auth.GoogleAuthProvider.PROVIDER_ID,
          firebase.auth.FacebookAuthProvider.PROVIDER_ID,
          firebase.auth.TwitterAuthProvider.PROVIDER_ID,
          firebase.auth.GithubAuthProvider.PROVIDER_ID,
          firebase.auth.EmailAuthProvider.PROVIDER_ID
        ],
        // Terms of service url.
        'tosUrl': '<your-tos-url>',
      };
    
      // Initialize the FirebaseUI Widget using Firebase.
      var ui = new firebaseui.auth.AuthUI(firebase.auth());
      // The start method will wait until the DOM is loaded.
      ui.start('#firebaseui-auth-container', uiConfig);
    </script>
    
  3. 从您的应用中移除 Identity Toolkit SDK。

  4. 如果您依靠 Identity Toolkit ID 令牌进行会话管理,则必须在客户端上进行以下更改:

    1. 使用 Firebase 成功登录后,通过调用 firebase.auth().currentUser.getToken() 获取 Firebase ID 令牌。

    2. 将 Firebase ID 令牌发送到后端服务器,对其进行验证,然后发出您自己的会话 Cookie。

      在执行敏感操作或向服务器发送经过身份验证的修改请求时,请勿仅依赖会话 Cookie。您需要提供额外的跨网站请求伪造 (CSRF) 保护。

      如果您的框架不提供 CSRF 保护,阻止攻击的一种方法是,使用 getToken() 为已登录的用户获取 Firebase ID 令牌,并在每个请求中添加该令牌(默认情况下,系统还会发送会话 Cookie)。然后,除了在后端框架中完成的会话 Cookie 检查外,您还可以使用 Firebase 服务器 SDK 验证该令牌。这使得 CSRF 攻击更难以成功,因为 Firebase ID 令牌仅使用 Web 存储空间来存储,而绝不会存储在 Cookie 中。

    3. Identity Toolkit 令牌的有效期为两周。您可能需要继续颁发有效期为两周的令牌,也可能希望根据应用的安全要求将其延长或缩短。在用户退出登录后,清除会话 Cookie。

第 3 步:更新 IdP 重定向网址

  1. 在 Firebase 控制台中,打开“身份验证”部分并点击登录方法标签页。

  2. 对于您支持的每个联合登录提供方,请执行以下操作:

    1. 点击登录提供方的名称。
    2. 复制 OAuth 重定向 URI。
    3. 在登录提供方的开发者控制台中,更新 OAuth 重定向 URI。

Android

第 1 步:将 Firebase 添加到您的应用

  1. 打开 Firebase 控制台,然后选择已导入的 Identity Toolkit 项目。

  2. 在“概览”页面上,点击 Add App,然后点击 Add Firebase to your Android app。在“Add Firebase”对话框中,提供应用的软件包名称和签名证书指纹,然后点击 Add App。然后,将 google-services.json 配置文件下载到您的计算机。

  3. 将配置文件复制到 Android 应用模块的根目录。此配置文件包含项目和 Google OAuth 客户端信息。

  4. 在项目级 build.gradle 文件 (<var>your-project</var>/build.gradle) 的 defaultConfig 部分指定应用的软件包名称:

    defaultConfig {
       …..
      applicationId "com.your-app"
    }
    
  5. 同样在您的项目级 build.gradle 文件中,添加一个依赖项以包含 google-services 插件:

    buildscript {
     dependencies {
       // Add this line
       classpath 'com.google.gms:google-services:3.0.0'
     }
    }
    
  6. 在应用的应用级 build.gradle 文件 (<var>my-project</var>/<var>app-module</var>/build.gradle) 中,将以下代码行添加到底部以启用 google-services 插件:

    // Add to the bottom of the file
    apply plugin: 'com.google.gms.google-services'
    

    Google 服务插件使用 google-services.json 文件将应用配置为使用 Firebase。

  7. 同样是在应用级 build.gradle 文件中,添加 Firebase Authentication 依赖项:

    compile 'com.google.firebase:firebase-auth:22.0.0'
    compile 'com.google.android.gms:play-services-auth:20.5.0'
    

第 2 步:移除 Identity Toolkit SDK

  1. AndroidManifest.xml 文件中移除 Identity Toolkit 配置。此信息包含在 google-service.json 文件中,并由 google-services 插件加载。
  2. 从您的应用中移除 Identity Toolkit SDK。

第 3 步:将 FirebaseUI 添加到您的应用

  1. FirebaseUI 身份验证添加到您的应用中。

  2. 在您的应用中,将对 Identity Toolkit SDK 的调用替换为对 FirebaseUI 的调用。

iOS

第 1 步:将 Firebase 添加到您的应用

  1. 运行以下命令,将 Firebase SDK 添加到您的应用:

    $ cd your-project directory
    $ pod init
    $ pod 'Firebase'
    
  2. 打开 Firebase 控制台,然后选择已导入的 Identity Toolkit 项目。

  3. 在“概览”页面上,点击添加应用,然后点击将 Firebase 添加到您的 iOS 应用。在“添加 Firebase”对话框中,提供应用的软件包 ID 和 App Store ID,然后点击添加应用。随后,系统会将 GoogleService-Info.plist 配置文件下载到您的计算机。如果您的项目中有多个软件包 ID,则必须在 Firebase 控制台中关联每个软件包 ID,以便它可以拥有自己的 GoogleService-Info.plist 文件。

  4. 将配置文件复制到 Xcode 项目的根目录并将其添加到所有目标。

第 2 步:移除 Identity Toolkit SDK

  1. 从应用的 Podfile 中移除 GoogleIdentityToolkit
  2. 运行 pod install 命令。

第 3 步:将 FirebaseUI 添加到您的应用

  1. FirebaseUI 身份验证添加到您的应用中。

  2. 在您的应用中,将对 Identity Toolkit SDK 的调用替换为对 FirebaseUI 的调用。