Đăng nhập từ hệ thống có sẵn

Tin cậy từ backend

Ở Authentication → Issuers, đăng ký issuer, kid và public JWK. Thêm origin ứng dụng vào allowed origins tại Cài đặt Authentication; endpoint ký token ở backend của bạn cũng phải kiểm origin/phiên. Khóa riêng chỉ nằm ở backend của bạn. Sau khi backend xác minh phiên cũ, ký JWT ngắn hạn cho đúng Project và subject ổn định, có jti một lần. Không ký theo user ID/email/role do browser tự gửi.

Issuer phải được bật. Cần identity (issuer, sub) đã liên kết với Project user, hoặc bật auto_create và chế độ đăng ký public. Nếu thiếu, token hợp lệ vẫn bị identity_not_registered; không tự bật cấp tài khoản khi chưa chọn chính sách này.

Đổi token

Browser nhận JWT một lần từ backend tin cậy rồi gọi signInWithCustomToken. Đây không phải cách đăng nhập bằng bất kỳ token Firebase/Google/access token nào. Không tự liên kết bằng email; liên kết danh tính cần quy trình quản lý rõ ràng.

const response = await fetch("/session/whypik-token", { method: "POST" });
if (!response.ok) throw new Error("Phiên nguồn chưa hợp lệ");
const { token } = await response.json();
const result = await client.auth.signInWithCustomToken(token);
// Nếu result có status check_email: hoàn tất xác minh trước khi sử dụng.

Nguồn triển khai

SDK repository có examples/custom-token/issuer.mjs minh họa Ed25519. Không có tài khoản mẫu đăng nhập mặc định, không xuất password hash sang bảng Database để tự xác thực. Role/group quản lý ở server.