在Firebase Auth Custom Claims中存储JWT Refresh令牌是否安全

Question

我正在用firebase和MongoDB构建一个应用程序。当使用云功能创建用户时，我想在Firebase Auth Custom Claims中添加JWT Refresh令牌。它安全吗？

Answer 1

我不能100%确定，但我认为这不安全。实际上，您将在Firebase的authJWT中添加一个刷新JWT。重要的是，JWT是编码的，但不是加密的。如果您的Firebase auth令牌以某种方式被劫持，则可以简单地对其进行解码，并暴露刷新JWT。我认为暴露的刷新令牌可以用来检索新的合法令牌。