在 iOS 應用程式��加入 TOTP 多重驗證

如果您已透過 Identity Platform 升級至 Firebase 驗證，可以新增有時限的動態密碼 (TOTP) 應用程式的多因素驗證 (MFA)。

採用 Identity Platform 的 Firebase 驗證之後，你可以使用 TOTP 做為 MFA 的附加因素。當您 啟用這項功能後，如果使用者嘗試登入您的應用程式，就會看到 失誤如要產生這組 ID，必須使用驗證器應用程式 有效的 TOTP 驗證碼，例如 Google Authenticator。

事前準備

1. 請至少啟用一個支援 MFA 的供應商。請注意，所有供應商 但以下支援 MFA：

   • 電話驗證
   • 匿名驗證
   • 自訂驗證權杖
   • Apple Game Center

2. 請確認應用程式會驗證使用者的電子郵件地址。MFA 需要電子郵件 驗證。這可防止惡意人士註冊服務 然後鎖在他人的電子郵件地址 新增第二個步驟，藉此取得電子郵件地址擁有者的資訊。

3. 如果您還沒有安裝 Firebase Apple SDK

   只有 Apple SDK v10.12.0 版 而且只有 iOS 裝置

啟用 TOTP MFA

如要啟用 TOTP 做為次要驗證方式，請使用 Admin SDK 或呼叫專案 設定 REST 端點

如要使用 Admin SDK，請按照下列步驟操作：

1. 如果您還沒有安裝 Firebase Admin Node.js SDK

   只有 Firebase Admin Node.js SDK 11.6.0 版和 TOTP MFA 支援。 。

2. 執行以下指令：

   import { getAuth } from 'firebase-admin/auth';
   
   getAuth().projectConfigManager().updateProjectConfig(
   {
         multiFactorConfig: {
             providerConfigs: [{
                 state: "ENABLED",
                 totpProviderConfig: {
                     adjacentIntervals: NUM_ADJ_INTERVALS
                 }
             }]
         }
   })
   

   更改下列內容：

   • NUM_ADJ_INTERVALS：相鄰的數量 接受 TOTP 的時間範圍間隔 (介於 0 至 10 之間)。 預設值為五。

     TOTP 成功的關鍵在於確保 驗證工具) 在同一時間範圍內 (通常是 30 秒) 產生動態密碼 系統產生的密碼相同但是，為了配合時鐘 偏差值，您可以設定 TOTP 服務也支援來自鄰近視窗的 TOTPs。

如要使用 REST API 啟用 TOTP MFA，請執行下列指令：

curl -X PATCH "https://identitytoolkit.googleapis.com/admin/v2/projects/PROJECT_ID/config?updateMask=mfa" \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -H "X-Goog-User-Project: PROJECT_ID" \
    -d \
    '{
        "mfa": {
          "providerConfigs": [{
            "state": "ENABLED",
            "totpProviderConfig": {
              "adjacentIntervals": NUM_ADJ_INTERVALS
            }
          }]
       }
    }'

更改下列內容：

• PROJECT_ID：專案 ID。

• NUM_ADJ_INTERVALS：時間範圍數量 介於 0 到 10 個之間的間隔預設值為五。

  TOTP 成功的關鍵在於確保 驗證工具) 在同一時間範圍內 (通常是 30 秒) 產生動態密碼 ��統產生的密碼相同但是，為了配合時鐘 偏差值，您可以設定 TOTP 服務也支援來自鄰近視窗的 TOTPs。

選擇註冊模式

您可以選擇是否要讓應用程式需要多因素驗證，以及如何 以及註冊使用者的時間以下列舉幾個常見的模式：

• 註冊使用者的第二重驗證在註冊過程中。使用這份草稿 方法。

• 提供可略過的選項，讓使用者在註冊期間註冊第二個步驟。如果發生以下情況： 如果想鼓勵應用程式也不需要多因素驗證 這種做法

• 讓使用者能夠在帳戶或設定檔中新增次要驗證條件 而非註冊畫面這可以大幅減少 同時在進行多因素驗證時 。

• 使用者要存取應用程式時，需要逐步新增第二個驗證步驟 強化安全性要求的功能

為使用者註冊 TOTP MFA

為應用程式啟用 TOTP MFA 做為次要驗證方式後，請實作用戶端 邏輯運算子，為使用者註冊 TOTP MFA：

1. 重新驗證使用者。

2. 為通過驗證的使用者產生 TOTP 密鑰：

   // Generate a TOTP secret.
   guard let mfaSession = try? await currentUser.multiFactor.session() else { return }
   guard let totpSecret = try? await TOTPMultiFactorGenerator.generateSecret(with: mfaSession) else { return }
   
   // Display the secret to the user and prompt them to enter it into their
   // authenticator app. (See the next step.)
   

3. 向使用者顯示這組密鑰，並提示他們在 驗證器應用程式：

   // Display this key:
   let secret = totpSecret.sharedSecretKey()
   

   除了顯示密鑰之外，您也可以嘗試 將其新增至裝置的預設驗證器應用程式。方法是先產生 與 Google Authenticator 相容的金鑰 URI， 並傳遞至 openInOTPApp(withQRCodeURL:)：

   let otpAuthUri = totpSecret.generateQRCodeURL(
       withAccountName: currentUser.email ?? "default account",
       issuer: "Your App Name")
   totpSecret.openInOTPApp(withQRCodeURL: otpAuthUri)
   

   使用者將密鑰新增至驗證器應用程式後，系統就會啟動 。

4. 提示使用者輸入驗證器應用程式顯示的 TOTP，並 請使用它完成 MFA 註冊：

   // Ask the user for a verification code from the authenticator app.
   let verificationCode = // Code from user input.
   
   // Finalize the enrollment.
   let multiFactorAssertion = TOTPMultiFactorGenerator.assertionForEnrollment(
       with: totpSecret,
       oneTimePassword: verificationCode)
   do {
       try await currentUser.multiFactor.enroll(
           with: multiFactorAssertion,
           displayName: "TOTP")
   } catch {
       // Wrong or expired OTP. Re-prompt the user.
   }
   

透過雙重驗證登入使用者

如要透過 TOTP MFA 登入使用者，請使用以下代碼：

1. 呼叫其中一個 signIn(with...:) 方法，方法與呼叫的方式相同 (例如 signIn(withEmail:password:))。如果這個方法 代碼 secondFactorRequired 發生錯誤，請啟動應用程式的 MFA 流程。

   do {
       let authResult = try await Auth.auth().signIn(withEmail: email, password: password)
   
       // If the user is not enrolled with a second factor and provided valid
       // credentials, sign-in succeeds.
   
       // (If your app requires MFA, this could be considered an error
       // condition, which you would resolve by forcing the user to enroll a
       // second factor.)
   
       // ...
   } catch let error as AuthErrorCode where error.code == .secondFactorRequired {
       // Initiate your second factor sign-in flow. (See next step.)
       // ...
   } catch {
       // Other auth error.
       throw error
   }
   

2. 應用程式的 MFA 流程應先提示使用者選擇第二個驗證步驟 要使用的應用程式如要查看支援的雙重驗證清單，請前往 檢查 MultiFactorResolver 執行個體的 hints 屬性：

   let mfaKey = AuthErrorUserInfoMultiFactorResolverKey
   guard let resolver = error.userInfo[mfaKey] as? MultiFactorResolver else { return }
   let enrolledFactors = resolver.hints.map(\.displayName)
   

3. 如果使用者選擇使用 TOTP，請提示他們輸入 並用來登入：

   let multiFactorInfo = resolver.hints[selectedIndex]
   switch multiFactorInfo.factorID {
   case TOTPMultiFactorID:
       let otpFromAuthenticator = // OTP typed by the user.
       let assertion = TOTPMultiFactorGenerator.assertionForSignIn(
           withEnrollmentID: multiFactorInfo.uid,
           oneTimePassword: otpFromAuthenticator)
       do {
           let authResult = try await resolver.resolveSignIn(with: assertion)
       } catch {
           // Wrong or expired OTP. Re-prompt the user.
       }
   default:
       return
   }
   

取消註冊 TOTP MFA

本節將說明如何處理使用者取消註冊 TOTP MFA 的使用者。

如果使用者已註冊多個 MFA 選項，且取消註冊了該選項 來自最近啟用的選項，會收到auth/user-token-expired 且已登出。使用者必須再次登入並驗證 現有憑證—例如電子郵件地址和密碼。

如要取消註冊使用者、處理錯誤並觸發重新驗證，請使用 下列程式碼：

guard let currentUser = Auth.auth().currentUser else { return }

// Prompt the user to select a factor to unenroll, from this array:
currentUser.multiFactor.enrolledFactors

// ...

// Unenroll the second factor.
let multiFactorInfo = currentUser.multiFactor.enrolledFactors[selectedIndex]
do {
    try await currentUser.multiFactor.unenroll(with: multiFactorInfo)
} catch let error as AuthErrorCode where error.code == .invalidUserToken {
    // Second factor unenrolled, but the user was signed out. Re-authenticate
    // them.
}

後續步驟

• 管理多重驗證使用者 利用 Admin SDK 編寫程式