In May 2016, we released the newest version of Google Identity Toolkit as Firebase Authentication, and in April 2019, we released Google Cloud's Identity Platform. These products include upgraded client SDKs, open source UI libraries, session management and integrated email sending service for forgotten password flows.

On June 30, 2020, the SDKs documented on this page and the API setting page will stop functioning. (The https://identitytoolkit.googleapis.com/... and https://securetoken.googleapis.com/... endpoints, used by Identity Platform and Firebase Authentication, will continue to function.)

To migrate an existing project from Identity Toolkit, see the Identity Platform migration guide or Firebase Authentication migration guide.

从 Google Identity Toolkit 迁移到 Google Cloud Identity Platform

使用集合让一切井井有条 根据您的偏好保存内容并对其进行分类。

最新版本的 Google Identity Toolkit 以 Identity PlatformFirebase Authentication 的形式发布。今后,Identity Toolkit 中的功能工作将冻结;所有新功能开发都将在 Identity Platform 和 Firebase Authentication 上完成。我们建议 Identity Toolkit 开发者尽快在其应用中实际使用这些平台。

新功能

Identity Platform 相较于 Google Identity Toolkit 已有的重要功能增强:

  • 新版管理控制台

    Identity Platform 提供了新的开发者控制台,方便您查看、修改和删除用户;这对于调试登录和注册流程很有用。控制台还允许您配置身份验证方法和自定义电子邮件模板。

  • 新的身份验证方法

    Identity Platform 支持企业联合标准(例如 SAML 和 OIDC),可让您扩缩 SaaS 应用和服务。Identity Platform 还为 GitHub、Microsoft、Yahoo 等提供商提供支持。您可以使用匿名登录创建唯一的用户 ID,而无需用户完成任何登录或注册过程;这样,您就可以像对待普通用户一样进行经过身份验证的 API 调用。当用户决定注册帐号时,系统会保留使用同一用户 ID 的所有活动。对于服务器端购物车或在其他应用中,您希望在通过注册流程发送用户之前与其互动的其他应用非常有用。

  • 借助服务等级协议和 Cloud 支持,信心十足地扩大规模

    Identity Platform 基于值得信赖的 Google 基础架构,提供 Google Cloud 的服务等级协议和支持。这意味着您可以放心地扩展服务,并依赖 Google 提供所需的弹性、可用性和可伸缩性。

  • 访问所有 Firebase

    Firebase 是一个移动平台,可帮助您快速开发优质应用、扩大用户群并赚取更多收益。Firebase 由多种互补功能组成,您可以自行组合和匹配这些功能以满足自己的需求,其中包括用于进行移动分析云消息传递实时数据库文件存储静态托管远程配置、移动崩溃报告和 Android 测试的基础架构。

  • 更新了界面

    我们已根据 Google 最新的用户体验研究重新构建了界面流程。这包括密码恢复、帐号关联、新帐号/现有帐号消除歧义流程,这些流程通常需要大量时间才能完成编码和调试。它集成了 Android 上的 Smart Lock(密码专用),它显著提升了参与相关应用的登录和注册转化率。此外,它还支持根据您的应用轻松修改主题,并且为了最大限度地提高可定制性,已将 AndroidiOS 版本开源。

  • 简化服务器设置

    借助 Identity Toolkit,我们发现许多开发者没有实现电子邮件恢复流程,因此如果用户忘记密码,就无法恢复他们的帐号。Identity Platform 可以向用户发送电子邮件验证、密码重置和已更改的密码消息,并且可以轻松为用户自定义文本。此外,您无需再托管用于托管重定向和完成密码更改操作的界面微件

  • 新 SDK

    现在,我们的每个客户端库(Android、iOS、Web)均原生提供 Identity Toolkit 的所有服务器 API。开发者无需登录固定界面,即可登录和注册新老用户、访问用户属性、关联、更新和删除帐号、重置密码等。 如果您愿意,可以在此 API 上手动构建自己的整个登录流程和体验。

  • 针对移动应用的会话管理

    借助 Identity Toolkit,应用会根据 Identity Toolkit 的初始身份验证事件创建自己的会话状态。Identity Platform 使用的后端服务会获取一个由身份验证事件创建的刷新令牌,并将其交换为适用于 Android、iOS 和 JavaScript 的一小时级访问令牌。当用户更改密码时,刷新令牌将无法再生成新的访问令牌,因此会停用该访问权限,直到用户在该设备上重新进行身份验证。

功能差异

Identity Platform 目前不支持某些 Identity Toolkit 功能,而其他功能已经过重新设计和工作方式不同。如果这些功能对您的应用很重要,您可以选择不立即迁移。在许多情况下,这些功能可能对您的应用并不重要,或者存在简单的回退可让您继续进行迁移。

服务器端差异

核心 Identity Toolkit 服务及其底层 REST API、帐号验证逻辑和主要用户数据库都只进行了次要更新。但是,部分功能和将 Identity Platform 集成到服务中的方式发生了变化。

  • 身份提供商

    不支持 PayPal 和 AOL。使用这些 IDP 的帐号的用户仍然可以使用密码恢复流程登录您的应用,并为其帐号设置密码。

  • 服务器库

    目前有适用于 Java、Node.js、Python、Go 和 C# 的 Admin SDK

  • 帐号管理电子邮件

    密码重置、电子邮件验证和电子邮件更改消息可由 Firebase 或开发者的邮件服务器执行。目前,电子邮件模板仅在界面中提供有限的自定义设置,但可以使用 Admin SDK 进一步自定义

  • 电子邮件地址更改确认

    在 Identity Toolkit 中,当用户决定更改电子邮件地址时,它会向新地址发送电子邮件,其中包含一个链接,以继续执行电子邮件地址更改流程。

    Firebase 通过向旧电子邮件地址发送撤消电子邮件(其中包含用于还原更改的链接),确认电子邮件地址更改。

  • IDP 发布

    Identity Toolkit 能够逐步将身份提供方添加到您的登录系统,以便您可以试验对支持请求的影响。此功能已从 Firebase Authentication 中移除。

客户端差异

在 Identity Platform 中,Google Identity Toolkit 提供的功能分为两部分:

  • 客户端 SDK 和服务器 SDK

    在 Identity Platform 中,Identity Toolkit 的 REST API 提供的功能已打包到可用于 Android、iOS 和 JavaScript 的客户端 SDK 中。您可以使用该 SDK 来登录和注册用户、访问用户个人资料信息、关联、更新和删除帐号,以及使用客户端 SDK 重置密码,而不是通过 REST 调用与后端服务进行通信。

  • 界面微件

    管理客户端登录、注册、密码恢复和帐号关联的所有流程都已使用客户端 SDK 重建,并打包为登录微件。它们可作为适用于 iOSAndroidWeb 的开源 SDK 提供,可让您使用 Identity Toolkit 无法完全自定义这些流程。

其他差异包括:

  • 会话和迁移

    由于会话在 Identity Toolkit 和 Identity Platform 中的管理方式不同,因此现有用户会在升级 SDK 时终止,并且您的用户必须重新登录。

准备工作

从 Identity Toolkit 迁移到 Identity Platform 之前,您必须:

  1. 打开 Cloud Console 并选择您的 Identity Toolkit 项目。

  2. 在 Marketplace 中,浏览到 Identity Platform 并选择“启用 Identity Platform”;

  3. 打开服务帐号页面。在这里,您可以看到之前为 Identity Toolkit 配置的服务帐号。

  4. 点击相应服务帐号旁边的 > 创建密钥。然后,在 Create private key 对话框中,将密钥类型设置为 JSON,并点击创建。系统会自动为您下载包含您的服务帐号凭据的 JSON 文件。在下一步中,您需要初始化 SDK。

  5. 返回 Cloud Console。 在“提供方”部分的“电子邮件/密码”登录方法中,打开电子邮件模板页面。然后,您可以自定义应用的模板。

    在 Identity Toolkit 中,当用户重置密码、更改电子邮件地址或验证其电子邮件地址时,您需要从 Identity Toolkit 服务器获取 OOB 代码,然后通过电子邮件将代码发送给用户。Identity Platform 会根据您配置的模板发送电子邮件,而无需您执行其他操作。

  6. 可选:如果您需要在服务器上访问 Identity Platform 服务,请安装 Firebase SDK。

    1. 您可以使用 npm 安装 Node.js Admin SDK:

      $ npm init
      $ npm install --save firebase-admin
      
    2. 在代码中,您可以使用以下代码访问 Firebase:

      var admin = require('firebase-admin');
      var app = admin.initializeApp({
        credential: admin.credential.cert('path/to/serviceAccountCredentials.json')
      });
      

接下来,完成应用平台的迁移步骤:AndroidiOSWeb

服务器和 JavaScript

显著变化

Identity Platform 在 Web 实现与 Identity Toolkit 方面存在一些其他差异。

  • 网络会话管理

    以前,当用户使用 Identity Toolkit 微件进行身份验证时,系统会为该用户设置用于引导会话的 Cookie。此 Cookie 的有效期为两周,一直用于允许用户使用帐号管理微件更改密码和电子邮件地址。某些网站会使用此 Cookie 对网站上的所有其他网页请求进行身份验证。其他网站使用 Cookie 通过其框架的 Cookie 管理系统创建自己的 Cookie。

    Identity Platform 客户端 SDK 现在会管理 Id 令牌,并使用 Identity Platform 的后端保持会话新鲜度。当发生重要的帐号更改(如用户密码更改)时,后端会过期会话。在 Web 客户端上,ID 令牌不会自动设置为 Cookie,有效期只有一小时。除非您希望只有一小时的会话,否则 ID 令牌不适合用作 Cookie 来验证您的所有网页请求。而是需要针对用户登录时设置监听器获取 ID 令牌验证令牌,并通过框架的 Cookie 管理系统创建自己的 Cookie。

    您需要根据应用的安全需求设置 Cookie 的会话生命周期。

  • 网页登录流程

    以前,在启动登录时,用户会被重定向到 accountchooser.com 以了解用户要使用的标识符。Identity Platform 界面现在从登录方法列表开始,其中包括一个电子邮件选项,用于 Web 的 accountchooser.com,并在 Android 上使用 hintRequest API。此外,界面不再需要电子邮件地址。这样可以更轻松地支持匿名用户、自定义身份验证用户或不需要电子邮件地址的提供商的用户。

  • 帐号管理微件

    此微件提供了一个界面,供用户更改电子邮件地址、更改密码或解除其帐号与身份提供方的关联。该 API 目前正在开发中。

  • 登录按钮/微件

    我们不再提供登录按钮和用户卡片等微件。您可以使用 Firebase Authentication API 非常轻松地构建这些 API。

  • 无 signOutUrl

    您需要调用 firebase.auth.signOut() 并处理回调。

  • 无 oobActionUrl

    电子邮件发送现在由 Identity Platform 处理,并在 Firebase 控制台中进行配置。

  • CSS 自定义

    界面微件使用 Material Design Lite 样式,以动态方式添加 Material Design 动画。

第 1 步:更改服务器代码

  1. 如果您的服务器依赖 Identity Toolkit 令牌(有效期为两周)来管理 Web 用户会话,则您需要将服务器转换为使用自己的会话 Cookie。

    1. 实现一个端点,用于验证 ID 令牌并为用户设置会话 Cookie。客户端应用将 Firebase ID 令牌发送到此端点。
    2. 如果传入的请求包含您自己的会话 Cookie,则可以考虑将用户通过身份验证。否则,将该请求视为未经身份验证。
    3. 如果您不希望任何用户丢失现有的已登录会话,则应等待两周,让所有 Identity Toolkit 令牌都过期,或者按照下文第 3 步中的说明为您的 Web 应用进行双令牌验证。
  2. 接下来,由于 Id 令牌与 Identity Toolkit 令牌不同,因此您必须更新令牌验证逻辑。将 Admin SDK 安装到您的服务器;或者,如果您使用的是 Admin SDK 不支持的语言,请下载适用于您的环境的 JWT 令牌验证库并正确验证令牌

  3. 首次进行上述更新时,您可能仍有依赖 Identity Toolkit 令牌的代码路径。如果您使用的是 iOS 或 Android 应用,用户需要升级到新版本的应用,才能使用新的代码路径。如果您不想强制用户更新应用,则可以添加其他服务器验证逻辑,以检查令牌并确定是使用 Firebase SDK 还是 Identity Toolkit SDK 验证令牌。如果您只有 Web 应用,则所有新的身份验证请求都将转移到 Identity Platform,因此您只需使用 ID 令牌验证方法。

请参阅 Web API 参考文档

第 2 步:更新 HTML

  1. 将初始化代码添加到您的应用:

    1. Cloud Console 中打开您的项目。
    2. 提供商页面上,点击应用设置详情。系统会显示用于初始化 Identity Platform 的代码段。
    3. 将初始化代码段复制并粘贴到您的网页中。
  2. 身份验证微件添加到您的应用:

    <script src="https://www.gstatic.com/firebasejs/ui/live/0.4/firebase-ui-auth.js"></script>
    <link type="text/css" rel="stylesheet" href="https://www.gstatic.com/firebasejs/ui/live/0.4/firebase-ui-auth.css" />
    <!-- *******************************************************************************************
       * TODO(DEVELOPER): Paste the initialization snippet from:
       * Firebase Console > Overview > Add Firebase to your web app. *
       ***************************************************************************************** -->
    <script type="text/javascript">
      // FirebaseUI config.
      var uiConfig = {
        'signInSuccessUrl': '<url-to-redirect-to-on-success>',
        'signInOptions': [
          // Leave the lines as is for the providers you want to offer your users.
          firebase.auth.GoogleAuthProvider.PROVIDER_ID,
          firebase.auth.FacebookAuthProvider.PROVIDER_ID,
          firebase.auth.TwitterAuthProvider.PROVIDER_ID,
          firebase.auth.GithubAuthProvider.PROVIDER_ID,
          firebase.auth.EmailAuthProvider.PROVIDER_ID
        ],
        // Terms of service url.
        'tosUrl': '<your-tos-url>',
      };
    
      // Initialize the FirebaseUI Widget using Firebase.
      var ui = new firebaseui.auth.AuthUI(firebase.auth());
      // The start method will wait until the DOM is loaded.
      ui.start('#firebaseui-auth-container', uiConfig);
    </script>
    
  3. 从您的应用中移除 Identity Toolkit SDK。

  4. 如果您依赖 Identity Toolkit ID 令牌进行会话管理,则必须在客户端进行以下更改:

    1. 使用 Identity Platform 成功登录后,通过调用 firebase.auth().currentUser.getToken() 获取 ID 令牌。

    2. 将 Id 令牌发送到后端服务器、进行验证,并签发您自己的会话 Cookie。

      在执行敏感操作或向服务器发送经过身份验证的修改请求时,请勿仅依赖会话 Cookie。您需要提供额外的跨网站请求伪造 (CSRF) 保护。

      如果您的框架不提供 CSRF 保护,一种方法是防止攻击的方法是使用 getToken() 为已登录的用户获取一个 Id 令牌,并在每个请求中包含该令牌(默认情况下,系统也会发送会话 Cookie)。然后,除了后端框架完成的会话 Cookie 检查外,您还需要使用 Admin SDK 验证该令牌。这使得 CSRF 攻击更难以成功,因为 Id 令牌仅使用 Web 存储空间存储,绝不存储在 Cookie 中。

    3. Identity Toolkit 令牌的有效期为两周。您可能需要持续发出持续两周的令牌,或者根据应用的安全要求延长或缩短令牌时间。当用户退出登录时,清除会话 Cookie。

第 3 步:更新 IDP 重定向网址

  1. Cloud Console 中,打开提供商部分。

  2. 对于您支持的每个联合登录提供商,请执行以下操作:

    1. 点击登录提供方的名称。
    2. 复制 OAuth 重定向 URI。
    3. 在登录提供方的开发者控制台中,更新 OAuth 重定向 URI。

Android

第 1 步:使用 Firebase 将 Identity Platform 添加到您的应用

  1. 打开 Cloud Console,然后选择您的身份工具包项目。

  2. 在“提供方”页面上,点击应用设置详情,选择 Android 标签页,然后点击 Firebase 使用入门。在“添加 Firebase”对话框中,提供应用的软件包名称和签名证书指纹,然后点击添加应用。随后,系统会将 google-services.json 配置文件下载到您的计算机。

  3. 将配置文件复制到 Android 应用模块的根目录。此配置文件包含项目和 Google OAuth 客户端信息。

  4. 在项目级 build.gradle 文件 (<var>your-project</var>/build.gradle) 中的 defaultConfig 部分指定应用的软件包名称:

    defaultConfig {
       …..
      applicationId "com.your-app"
    }
    
  5. 此外,在您的项目级 build.gradle 文件中,添加依赖项以包含 google-services 插件:

    buildscript {
     dependencies {
       // Add this line
       classpath 'com.google.gms:google-services:3.0.0'
     }
    }
    
  6. 在应用的应用级 build.gradle 文件 (<var>my-project</var>/<var>app-module</var>/build.gradle) 中,在 Android Gradle 插件后添加下面这行代码,以启用 Google 服务插件:

    apply plugin: 'com.android.application'
    // Add this line
    apply plugin: 'com.google.gms.google-services'
    

    Google 服务插件使用 google-services.json 文件将应用配置为使用 Firebase。

  7. 同样是在应用级 build.gradle 文件中,添加 Firebase Authentication 依赖项:

    compile 'com.google.firebase:firebase-auth:21.0.8'
    compile 'com.google.android.gms:play-services-auth:20.3.0'
    

第 2 步:移除 Identity Toolkit SDK

  1. AndroidManifest.xml 文件中移除 Identity Toolkit 配置。此信息包含在 google-service.json 文件中,并由 google-services 插件加载。
  2. 从您的应用中移除 Identity Toolkit SDK。

第 3 步:将 FirebaseUI 添加到您的应用

  1. FirebaseUI 身份验证添加到您的应用。

  2. 在您的应用中,将对 Identity Toolkit SDK 的调用替换为对 FirebaseUI 的调用。

iOS

第 1 步:将 Firebase 添加到您的应用

  1. 通过运行以下命令将客户端 SDK 添加到您的应用:

    $ cd your-project directory
    $ pod init
    $ pod 'Firebase'
    
  2. 打开 Cloud Console,然后选择您的身份工具包项目。

  3. 在“提供方”页面上,点击应用设置详情,选择 iOS 标签页,然后点击 Firebase 使用入门。在“添加 Firebase”对话框中,提供应用的软件包名称和签名证书指纹,然后点击添加应用。随后,系统会将 google-services.json 配置文件下载到您的计算机。在“添加 Firebase”对话框中,提供应用的软件包 ID 和 App Store ID,然后点击添加应用。系统随后会将 GoogleService-Info.plist 配置文件下载到您的计算机中。如果您的项目中有多个软件包 ID,则必须在 Firebase 控制台中连接每个软件包 ID,这样它才能拥有自己的 GoogleService-Info.plist 文件。

  4. 将配置文件复制到 Xcode 项目的根目录并将其添加到所有目标。

第 2 步:移除 Identity Toolkit SDK

  1. 从应用的 Podfile 中移除 GoogleIdentityToolkit
  2. 运行 pod install 命令。

第 3 步:将 FirebaseUI 添加到您的应用

  1. FirebaseUI 身份验证添加到您的应用。

  2. 在您的应用中,将对 Identity Toolkit SDK 的调用替换为对 FirebaseUI 的调用。