涉及 App Check 令牌驗證的傳出 HTTP 請求

Question

我正在嘗試在我的自定義后端上驗證 Firebase App Check 令牌。 到目前為止一切都很好，但有一件事我不確定：我的后端托管在私有網絡上因此我需要知道是否從https://firebaseappcheck.googleapis.com/v1/jwks獲取密鑰集是只有必要的傳出 HTTP 請求參與驗證過程。

Answer 1

根據https://github.com/firebase/firebase-admin-node/issues/2014#issuecomment-1353472578 ，答案是“是”

獲取 Firebase App Check 公共 JSON Web 密鑰集是應用檢查驗證令牌 API的唯一傳出請求。 SDK 可能會根據您的環境（獲取服務帳戶或憑據等）在初始化期間進行其他 http 調用，或者如果您將其他 API 與 App 檢查令牌驗證結合使用。

JWT 驗證的其余部分全部離線進行。 我們還將公鑰 (JWKS) 緩存長達 6 小時，因此如果您的環境沒有丟失其狀態，則每次調用 API 時都不會發出獲取密鑰的請求（如果密鑰已緩存）。