我有一个项目,包括一个前端(用Vue制作)和一个后端(用Node.js制作)。我的服务器处理所有前端请求,并拥有自己的mongodb。我仅将firebase用于身份验证。
我的问题是:如何确保服务器由具有执行该请求权限的登录用户发送特定请求?
例如,如果我有请求POST /user/:uid/products
,使用户将产品添加到其帐户中,则我想确保是发出此请求的实际用户。
我想出了这个方法:https : //firebase.google.com/docs/auth/admin/verify-id-tokens#web,从前端获取用户令牌,并通过firebase管理员api在服务器中对其进行检查。
我只想知道哪个标记应该放在正确的标头中。我的意思是,前端是否应该将创建的令牌放在“授权”标头中?哪个标题最合适?
正如你所说,习惯上将其放在“ Authorization”标题中。
通常,标头的格式如下:
Authorization: Bearer <token>
这在OAuth 2.0授权框架:“承载令牌使用情况”的第2.1节中进行了说明。你的后端当然应该解析相同的格式。