הוספת אימות רב-שלבי לאפליקציית אינטרנט

במאמר הזה מוסבר איך להוסיף אימות רב-שלבי באמצעות SMS לאפליקציית האינטרנט.

אימות רב-שלבי משפר את האבטחה של האפליקציה. אמנם תוקפים לרוב מצליחים לפרוץ לסיסמאות ולחשבונות ברשתות החברתיות, אבל קשה יותר ליירט הודעת טקסט.

לפני שמתחילים

  1. מפעילים לפחות ספק אחד שתומך באימות רב-שלבי. כל הספקים תומכים באימות רב-שלבי, חוץ מאימות באמצעות טלפון, אימות אנונימי ו-Apple Game Center.

  2. מפעילים את האזורים שבהם מתכננים להשתמש באימות באמצעות SMS. ב-Identity Platform נעשה שימוש במדיניות אזור חסימה מלאה של SMS, שעוזרת ליצור את הפרויקטים שלכם במצב מאובטח יותר כברירת מחדל.

  3. מוודאים שהאפליקציה מאמתת את כתובות האימייל של המשתמשים. כדי להשתמש באימות רב-שלבי, צריך לאמת את כתובת האימייל. כך אפשר למנוע מגורמים זדוניים להירשם לשירות באמצעות כתובת אימייל שלא בבעלותם, ואז לנעול את הבעלים האמיתי על ידי הוספת אמצעי אימות נוסף.

שימוש בגישה מרובת דיירים

אם אתם מפעילים אימות רב-שלבי לשימוש בסביבת ריבוי דיירים, הקפידו להשלים את השלבים הבאים (בנוסף לשאר ההוראות במסמך הזה):

  1. במסוף Google Cloud , בוחרים את הדייר שאיתו רוצים לעבוד.

  2. בקוד, מגדירים את השדה tenantId במופע Auth למזהה הדייר. לדוגמה:

    גרסה 9 לאינטרנט 

    import { getAuth } from "firebase/auth";

const auth = getAuth(app);
auth.tenantId = "myTenantId1";

    גרסה 8 לאינטרנט 

    firebase.auth().tenantId = 'myTenantId1';

הפעלת אימות רב-שלבי

  1. עוברים לדף Identity Platform MFA במסוף Google Cloud .
    כניסה לדף MFA

  2. בתיבה SMS-Based Multi-Factor Authentication (אימות רב-שלבי מבוסס-SMS), לוחצים על Enable (הפעלה).

  3. מזינים את מספרי הטלפון שבהם תשתמשו כדי לבדוק את האפליקציה. אמנם לא חובה לרשום מספרי טלפון לבדיקה, אבל מומלץ מאוד לעשות זאת כדי להימנע מהגבלת קצב הבקשות במהלך הפיתוח.

  4. אם עדיין לא אישרתם את הדומיין של האפליקציה, מוסיפים אותו לרשימת ההיתרים על ידי לחיצה על הוספת דומיין בצד שמאל.

  5. לוחצים על Save.

בחירת דפוס שיוך

אתם יכולים לבחור אם האפליקציה שלכם דורשת אימות רב-שלבי, ואיך ומתי לרשום את המשתמשים. דוגמאות לדפוסים נפוצים:

  • רושמים את הגורם השני לאימות של המשתמש כחלק מההרשמה. כדאי להשתמש בשיטה הזו אם האפליקציה שלכם דורשת אימות רב-שלבי מכל המשתמשים.

  • להציע אפשרות דילוג על הוספת אמצעי אימות נוסף במהלך ההרשמה. אפליקציות שרוצות לעודד אימות רב-שלבי, אבל לא מחייבות אותו, עשויות להעדיף את הגישה הזו.

  • אפשרות להוסיף אימות דו-שלבי מדף ניהול החשבון או הפרופיל של המשתמש, במקום ממסך ההרשמה. כך מצמצמים את החיכוך במהלך תהליך ההרשמה, ועדיין מאפשרים אימות רב-שלבי למשתמשים שחשובה להם האבטחה.

  • הוספה הדרגתית של אמצעי אימות נוסף כשמשתמש רוצה לגשת לתכונות עם דרישות אבטחה מוגברות.

הגדרת כלי האימות reCAPTCHA

כדי לשלוח קודי SMS, צריך להגדיר מאמת reCAPTCHA. פלטפורמת Identity משתמשת ב-reCAPTCHA כדי למנוע התנהלות פוגעת. היא מוודאת שבקשות לאימות מספרי טלפון מגיעות מאחד הדומיינים המותרים של האפליקציה.

לא צריך להגדיר ידנית לקוח reCAPTCHA. האובייקט RecaptchaVerifier של ה-SDK של הלקוח יוצר ומפעיל באופן אוטומטי את כל המפתחות והסודות הנדרשים של הלקוח.

שימוש ב-reCAPTCHA בלתי נראה

האובייקט RecaptchaVerifier תומך בreCAPTCHA בלתי נראה, שלרוב יכול לאמת את המשתמש בלי לדרוש אינטראקציה כלשהי. כדי להשתמש ב-reCAPTCHA בלתי נראה, יוצרים RecaptchaVerifier עם הפרמטר size שמוגדר ל-invisible, ומציינים את המזהה של רכיב ממשק המשתמש שמתחיל את ההרשמה לאימות רב-שלבי:

גרסה 9 לאינטרנט 

import { RecaptchaVerifier, getAuth } from "firebase/auth";

const recaptchaVerifier = new RecaptchaVerifier(getAuth(), "sign-in-button", {
    "size": "invisible",
    "callback": function(response) {
        // reCAPTCHA solved, you can proceed with
        // phoneAuthProvider.verifyPhoneNumber(...).
        onSolvedRecaptcha();
    }
});

גרסה 8 לאינטרנט 

var recaptchaVerifier = new firebase.auth.RecaptchaVerifier('sign-in-button', {
'size': 'invisible',
'callback': function(response) {
  // reCAPTCHA solved, you can proceed with phoneAuthProvider.verifyPhoneNumber(...).
  onSolvedRecaptcha();
}
});

שימוש בווידג'ט reCAPTCHA

כדי להשתמש בווידג'ט reCAPTCHA גלוי, צריך ליצור רכיב HTML שיכיל את הווידג'ט, ואז ליצור אובייקט RecaptchaVerifier עם המזהה של מאגר ממשק המשתמש. אפשר גם להגדיר אופציונלית קריאות חוזרות (callback) שמופעלות כשה-reCAPTCHA נפתר או שתוקפו פג:

גרסה 9 לאינטרנט 

import { RecaptchaVerifier, getAuth } from "firebase/auth";

const recaptchaVerifier = new RecaptchaVerifier(
    getAuth(),
    "recaptcha-container",

    // Optional reCAPTCHA parameters.
    {
      "size": "normal",
      "callback": function(response) {
        // reCAPTCHA solved, you can proceed with
        // phoneAuthProvider.verifyPhoneNumber(...).
        onSolvedRecaptcha();
      },
      "expired-callback": function() {
        // Response expired. Ask user to solve reCAPTCHA again.
        // ...
      }
    }
);

גרסה 8 לאינטרנט 

var recaptchaVerifier = new firebase.auth.RecaptchaVerifier(
  'recaptcha-container',
  // Optional reCAPTCHA parameters.
  {
    'size': 'normal',
    'callback': function(response) {
      // reCAPTCHA solved, you can proceed with phoneAuthProvider.verifyPhoneNumber(...).
      // ...
      onSolvedRecaptcha();
    },
    'expired-callback': function() {
      // Response expired. Ask user to solve reCAPTCHA again.
      // ...
    }
  });

טרום-רינדור של reCAPTCHA

אם רוצים, אפשר לבצע רינדור מראש של reCAPTCHA לפני שמתחילים את ההרשמה לאימות דו-שלבי:

גרסה 9 לאינטרנט 

recaptchaVerifier.render()
    .then(function (widgetId) {
        window.recaptchaWidgetId = widgetId;
    });

גרסה 8 לאינטרנט 

recaptchaVerifier.render()
  .then(function(widgetId) {
    window.recaptchaWidgetId = widgetId;
  });

אחרי ש-render() נפתר, מקבלים את מזהה הווידג'ט של reCAPTCHA, שאפשר להשתמש בו כדי לבצע קריאות אל reCAPTCHA API:

var recaptchaResponse = grecaptcha.getResponse(window.recaptchaWidgetId);

הלוגיקה הזו מופשטת על ידי RecaptchaVerifier באמצעות השיטה verify, כך שלא צריך לטפל במשתנה grecaptcha ישירות.

רישום של גורם שני

כדי לרשום גורם משני חדש עבור משתמש:

  1. מאמתים מחדש את המשתמש.

  2. מבקשים מהמשתמש להזין את מספר הטלפון שלו.

  3. מפעילים את מאמת ה-reCAPTCHA כמו שמוסבר בקטע הקודם. אפשר לדלג על השלב הזה אם מופע RecaptchaVerifier כבר מוגדר:

    גרסה 9 לאינטרנט 

    import { RecaptchaVerifier, getAuth } from "firebase/auth";

const recaptchaVerifier = new RecaptchaVerifier(
  getAuth(),'recaptcha-container-id', undefined);

    גרסה 8 לאינטרנט 

    var recaptchaVerifier = new firebase.auth.RecaptchaVerifier('recaptcha-container-id');

  4. קבלת סשן עם אימות רב-שלבי עבור המשתמש:

    גרסה 9 לאינטרנט 

    import { multiFactor } from "firebase/auth";

multiFactor(user).getSession().then(function (multiFactorSession) {
    // ...
});

    גרסה 8 לאינטרנט 

    user.multiFactor.getSession().then(function(multiFactorSession) {
  // ...
})

  5. מאתחלים אובייקט PhoneInfoOptions עם מספר הטלפון של המשתמש והסשן של האימות הרב-שלבי:

    גרסה 9 לאינטרנט 

    // Specify the phone number and pass the MFA session.
const phoneInfoOptions = {
  phoneNumber: phoneNumber,
  session: multiFactorSession
};

    גרסה 8 לאינטרנט 

    // Specify the phone number and pass the MFA session.
var phoneInfoOptions = {
  phoneNumber: phoneNumber,
  session: multiFactorSession
};

  6. שליחת הודעת אימות לטלפון של המשתמש:

    גרסה 9 לאינטרנט 

    import { PhoneAuthProvider } from "firebase/auth";

const phoneAuthProvider = new PhoneAuthProvider(auth);
phoneAuthProvider.verifyPhoneNumber(phoneInfoOptions, recaptchaVerifier)
    .then(function (verificationId) {
        // verificationId will be needed to complete enrollment.
    });

    גרסה 8 לאינטרנט 

    var phoneAuthProvider = new firebase.auth.PhoneAuthProvider();
// Send SMS verification code.
return phoneAuthProvider.verifyPhoneNumber(phoneInfoOptions, recaptchaVerifier)
  .then(function(verificationId) {
    // verificationId will be needed for enrollment completion.
  })

    מומלץ ליידע את המשתמשים מראש שהם יקבלו הודעת SMS, ושהתעריפים הרגילים חלים על כך.

  7. אם הבקשה נכשלת, מאפסים את ה-reCAPTCHA וחוזרים על השלב הקודם כדי שהמשתמש יוכל לנסות שוב. הערה: verifyPhoneNumber() יאפס אוטומטית את ה-reCAPTCHA אם תתרחש שגיאה, כי אסימוני reCAPTCHA הם לשימוש חד-פעמי בלבד.

    גרסה 9 לאינטרנט 

    recaptchaVerifier.clear();

    גרסה 8 לאינטרנט 

    recaptchaVerifier.clear();

  8. אחרי שקוד ה-SMS נשלח, צריך לבקש מהמשתמש לאמת את הקוד:

    גרסה 9 לאינטרנט 

    // Ask user for the verification code. Then:
const cred = PhoneAuthProvider.credential(verificationId, verificationCode);

    גרסה 8 לאינטרנט 

    // Ask user for the verification code. Then:
var cred = firebase.auth.PhoneAuthProvider.credential(verificationId, verificationCode);

  9. מפעילים אובייקט MultiFactorAssertion באמצעות PhoneAuthCredential:

    גרסה 9 לאינטרנט 

    import { PhoneMultiFactorGenerator } from "firebase/auth";

const multiFactorAssertion = PhoneMultiFactorGenerator.assertion(cred);

    גרסה 8 לאינטרנט 

    var multiFactorAssertion = firebase.auth.PhoneMultiFactorGenerator.assertion(cred);

  10. משלימים את ההרשמה. אפשר גם לציין שם מוצג לגורם השני. האפשרות הזו שימושית למשתמשים עם כמה אמצעי אימות, כי מספר הטלפון מוסתר במהלך תהליך האימות (לדוגמה, ‎+1******1234).

    גרסה 9 לאינטרנט 

    // Complete enrollment. This will update the underlying tokens
// and trigger ID token change listener.
multiFactor(user).enroll(multiFactorAssertion, "My personal phone number");

    גרסה 8 לאינטרנט 

    // Complete enrollment. This will update the underlying tokens
// and trigger ID token change listener.
user.multiFactor.enroll(multiFactorAssertion, 'My personal phone number');

בדוגמה הבאה מוצג קוד מלא להוספת אמצעי אימות נוסף:

גרסה 9 לאינטרנט 

import {
    multiFactor, PhoneAuthProvider, PhoneMultiFactorGenerator,
    RecaptchaVerifier, getAuth
} from "firebase/auth";

const recaptchaVerifier = new RecaptchaVerifier(getAuth(),
    'recaptcha-container-id', undefined);
multiFactor(user).getSession()
    .then(function (multiFactorSession) {
        // Specify the phone number and pass the MFA session.
        const phoneInfoOptions = {
            phoneNumber: phoneNumber,
            session: multiFactorSession
        };

        const phoneAuthProvider = new PhoneAuthProvider(auth);

        // Send SMS verification code.
        return phoneAuthProvider.verifyPhoneNumber(phoneInfoOptions, recaptchaVerifier);
    }).then(function (verificationId) {
        // Ask user for the verification code. Then:
        const cred = PhoneAuthProvider.credential(verificationId, verificationCode);
        const multiFactorAssertion = PhoneMultiFactorGenerator.assertion(cred);

        // Complete enrollment.
        return multiFactor(user).enroll(multiFactorAssertion, mfaDisplayName);
    });

גרסה 8 לאינטרנט 

var recaptchaVerifier = new firebase.auth.RecaptchaVerifier('recaptcha-container-id');
user.multiFactor.getSession().then(function(multiFactorSession) {
  // Specify the phone number and pass the MFA session.
  var phoneInfoOptions = {
    phoneNumber: phoneNumber,
    session: multiFactorSession
  };
  var phoneAuthProvider = new firebase.auth.PhoneAuthProvider();
  // Send SMS verification code.
  return phoneAuthProvider.verifyPhoneNumber(
      phoneInfoOptions, recaptchaVerifier);
})
.then(function(verificationId) {
  // Ask user for the verification code.
  var cred = firebase.auth.PhoneAuthProvider.credential(verificationId, verificationCode);
  var multiFactorAssertion = firebase.auth.PhoneMultiFactorGenerator.assertion(cred);
  // Complete enrollment.
  return user.multiFactor.enroll(multiFactorAssertion, mfaDisplayName);
});

כל הכבוד! הוספתם בהצלחה אמצעי אימות שני למשתמש.

כניסה של משתמשים באמצעות גורם אימות שני

כדי להכניס משתמש באמצעות אימות דו-שלבי ב-SMS:

  1. מכניסים את המשתמש באמצעות הגורם הראשון, ואז מאתרים את השגיאה auth/multi-factor-auth-required. השגיאה הזו מכילה רכיב לפתרון בעיות, רמזים לגבי האימות הדו-שלבי שנרשם ונתונים בסיסיים על הסשן שמוכיחים שהמשתמש עבר אימות בהצלחה באמצעות השלב הראשון.

    לדוגמה, אם הגורם הראשון של המשתמש היה אימייל וסיסמה:

    גרסה 9 לאינטרנט 

    import { getAuth, signInWithEmailAndPassword, getMultiFactorResolver} from "firebase/auth";

const auth = getAuth();
signInWithEmailAndPassword(auth, email, password)
    .then(function (userCredential) {
        // User successfully signed in and is not enrolled with a second factor.
    })
    .catch(function (error) {
        if (error.code == 'auth/multi-factor-auth-required') {
            // The user is a multi-factor user. Second factor challenge is required.
            resolver = getMultiFactorResolver(auth, error);
            // ...
        } else if (error.code == 'auth/wrong-password') {
            // Handle other errors such as wrong password.
        }
});

    גרסה 8 לאינטרנט 

    firebase.auth().signInWithEmailAndPassword(email, password)
  .then(function(userCredential) {
    // User successfully signed in and is not enrolled with a second factor.
  })
  .catch(function(error) {
    if (error.code == 'auth/multi-factor-auth-required') {
      // The user is a multi-factor user. Second factor challenge is required.
      resolver = error.resolver;
      // ...
    } else if (error.code == 'auth/wrong-password') {
      // Handle other errors such as wrong password.
    } ...
  });

    אם הגורם הראשון של המשתמש הוא ספק מאוחד, כמו OAuth,‏ SAML או OIDC, צריך לזהות את השגיאה אחרי הקריאה ל-signInWithPopup() או ל-signInWithRedirect().

  2. אם המשתמש רשום לכמה אמצעי אימות משניים, צריך לשאול אותו באיזה מהם הוא רוצה להשתמש:

    גרסה 9 לאינטרנט 

    // Ask user which second factor to use.
// You can get the masked phone number via resolver.hints[selectedIndex].phoneNumber
// You can get the display name via resolver.hints[selectedIndex].displayName

if (resolver.hints[selectedIndex].factorId ===
    PhoneMultiFactorGenerator.FACTOR_ID) {
    // User selected a phone second factor.
    // ...
} else if (resolver.hints[selectedIndex].factorId ===
           TotpMultiFactorGenerator.FACTOR_ID) {
    // User selected a TOTP second factor.
    // ...
} else {
    // Unsupported second factor.
}

    גרסה 8 לאינטרנט 

    // Ask user which second factor to use.
// You can get the masked phone number via resolver.hints[selectedIndex].phoneNumber
// You can get the display name via resolver.hints[selectedIndex].displayName
if (resolver.hints[selectedIndex].factorId === firebase.auth.PhoneMultiFactorGenerator.FACTOR_ID) {
  // User selected a phone second factor.
  // ...
} else if (resolver.hints[selectedIndex].factorId === firebase.auth.TotpMultiFactorGenerator.FACTOR_ID) {
  // User selected a TOTP second factor.
  // ...
} else {
  // Unsupported second factor.
}

  3. מפעילים את מאמת ה-reCAPTCHA כמו שמוסבר בקטע הקודם. אפשר לדלג על השלב הזה אם מופע RecaptchaVerifier כבר מוגדר:

    גרסה 9 לאינטרנט 

    import { RecaptchaVerifier, getAuth } from "firebase/auth";

recaptchaVerifier = new RecaptchaVerifier(getAuth(),
    'recaptcha-container-id', undefined);

    גרסה 8 לאינטרנט 

    var recaptchaVerifier = new firebase.auth.RecaptchaVerifier('recaptcha-container-id');

  4. מאתחלים אובייקט PhoneInfoOptions עם מספר הטלפון של המשתמש והסשן של האימות הרב-שלבי. הערכים האלה כלולים באובייקט resolver שמועבר לשגיאה auth/multi-factor-auth-required:

    גרסה 9 לאינטרנט 

    const phoneInfoOptions = {
    multiFactorHint: resolver.hints[selectedIndex],
    session: resolver.session
};

    גרסה 8 לאינטרנט 

    var phoneInfoOptions = {
  multiFactorHint: resolver.hints[selectedIndex],
  session: resolver.session
};

  5. שליחת הודעת אימות לטלפון של המשתמש:

    גרסה 9 לאינטרנט 

    // Send SMS verification code.
const phoneAuthProvider = new PhoneAuthProvider(auth);
phoneAuthProvider.verifyPhoneNumber(phoneInfoOptions, recaptchaVerifier)
    .then(function (verificationId) {
        // verificationId will be needed for sign-in completion.
    });

    גרסה 8 לאינטרנט 

    var phoneAuthProvider = new firebase.auth.PhoneAuthProvider();
// Send SMS verification code.
return phoneAuthProvider.verifyPhoneNumber(phoneInfoOptions, recaptchaVerifier)
  .then(function(verificationId) {
    // verificationId will be needed for sign-in completion.
  })

  6. אם הבקשה נכשלת, מאפסים את ה-reCAPTCHA וחוזרים על השלב הקודם כדי שהמשתמש יוכל לנסות שוב:

    גרסה 9 לאינטרנט 

    recaptchaVerifier.clear();

    גרסה 8 לאינטרנט 

    recaptchaVerifier.clear();

  7. אחרי שקוד ה-SMS נשלח, צריך לבקש מהמשתמש לאמת את הקוד:

    גרסה 9 לאינטרנט 

    const cred = PhoneAuthProvider.credential(verificationId, verificationCode);

    גרסה 8 לאינטרנט 

    // Ask user for the verification code. Then:
var cred = firebase.auth.PhoneAuthProvider.credential(verificationId, verificationCode);

  8. מפעילים אובייקט MultiFactorAssertion באמצעות PhoneAuthCredential:

    גרסה 9 לאינטרנט 

    const multiFactorAssertion = PhoneMultiFactorGenerator.assertion(cred);

    גרסה 8 לאינטרנט 

    var multiFactorAssertion = firebase.auth.PhoneMultiFactorGenerator.assertion(cred);

  9. צריך להתקשר אל resolver.resolveSignIn() כדי להשלים את האימות המשני. אחרי מכן תוכלו לגשת לתוצאת הכניסה המקורית, שכוללת את הנתונים הספציפיים של הספק ואת פרטי האימות:

    גרסה 9 לאינטרנט 

    // Complete sign-in. This will also trigger the Auth state listeners.
resolver.resolveSignIn(multiFactorAssertion)
    .then(function (userCredential) {
        // userCredential will also contain the user, additionalUserInfo, optional
        // credential (null for email/password) associated with the first factor sign-in.

        // For example, if the user signed in with Google as a first factor,
        // userCredential.additionalUserInfo will contain data related to Google
        // provider that the user signed in with.
        // - user.credential contains the Google OAuth credential.
        // - user.credential.accessToken contains the Google OAuth access token.
        // - user.credential.idToken contains the Google OAuth ID token.
    });

    גרסה 8 לאינטרנט 

    // Complete sign-in. This will also trigger the Auth state listeners.
resolver.resolveSignIn(multiFactorAssertion)
  .then(function(userCredential) {
    // userCredential will also contain the user, additionalUserInfo, optional
    // credential (null for email/password) associated with the first factor sign-in.
    // For example, if the user signed in with Google as a first factor,
    // userCredential.additionalUserInfo will contain data related to Google provider that
    // the user signed in with.
    // user.credential contains the Google OAuth credential.
    // user.credential.accessToken contains the Google OAuth access token.
    // user.credential.idToken contains the Google OAuth ID token.
  });

בדוגמה הבאה מוצג קוד מלא של כניסה של משתמש עם אימות רב-שלבי:

גרסה 9 לאינטרנט 

import {
    getAuth,
    getMultiFactorResolver,
    PhoneAuthProvider,
    PhoneMultiFactorGenerator,
    RecaptchaVerifier,
    signInWithEmailAndPassword
} from "firebase/auth";

const recaptchaVerifier = new RecaptchaVerifier(getAuth(),
    'recaptcha-container-id', undefined);

const auth = getAuth();
signInWithEmailAndPassword(auth, email, password)
    .then(function (userCredential) {
        // User is not enrolled with a second factor and is successfully
        // signed in.
        // ...
    })
    .catch(function (error) {
        if (error.code == 'auth/multi-factor-auth-required') {
            const resolver = getMultiFactorResolver(auth, error);
            // Ask user which second factor to use.
            if (resolver.hints[selectedIndex].factorId ===
                PhoneMultiFactorGenerator.FACTOR_ID) {
                const phoneInfoOptions = {
                    multiFactorHint: resolver.hints[selectedIndex],
                    session: resolver.session
                };
                const phoneAuthProvider = new PhoneAuthProvider(auth);
                // Send SMS verification code
                return phoneAuthProvider.verifyPhoneNumber(phoneInfoOptions, recaptchaVerifier)
                    .then(function (verificationId) {
                        // Ask user for the SMS verification code. Then:
                        const cred = PhoneAuthProvider.credential(
                            verificationId, verificationCode);
                        const multiFactorAssertion =
                            PhoneMultiFactorGenerator.assertion(cred);
                        // Complete sign-in.
                        return resolver.resolveSignIn(multiFactorAssertion)
                    })
                    .then(function (userCredential) {
                        // User successfully signed in with the second factor phone number.
                    });
            } else if (resolver.hints[selectedIndex].factorId ===
                       TotpMultiFactorGenerator.FACTOR_ID) {
                // Handle TOTP MFA.
                // ...
            } else {
                // Unsupported second factor.
            }
        } else if (error.code == 'auth/wrong-password') {
            // Handle other errors such as wrong password.
        }
    });

גרסה 8 לאינטרנט 

var resolver;
firebase.auth().signInWithEmailAndPassword(email, password)
  .then(function(userCredential) {
    // User is not enrolled with a second factor and is successfully signed in.
    // ...
  })
  .catch(function(error) {
    if (error.code == 'auth/multi-factor-auth-required') {
      resolver = error.resolver;
      // Ask user which second factor to use.
      if (resolver.hints[selectedIndex].factorId ===
          firebase.auth.PhoneMultiFactorGenerator.FACTOR_ID) {
        var phoneInfoOptions = {
          multiFactorHint: resolver.hints[selectedIndex],
          session: resolver.session
        };
        var phoneAuthProvider = new firebase.auth.PhoneAuthProvider();
        // Send SMS verification code
        return phoneAuthProvider.verifyPhoneNumber(phoneInfoOptions, recaptchaVerifier)
          .then(function(verificationId) {
            // Ask user for the SMS verification code.
            var cred = firebase.auth.PhoneAuthProvider.credential(
                verificationId, verificationCode);
            var multiFactorAssertion =
                firebase.auth.PhoneMultiFactorGenerator.assertion(cred);
            // Complete sign-in.
            return resolver.resolveSignIn(multiFactorAssertion)
          })
          .then(function(userCredential) {
            // User successfully signed in with the second factor phone number.
          });
      } else if (resolver.hints[selectedIndex].factorId ===
        firebase.auth.TotpMultiFactorGenerator.FACTOR_ID) {
        // Handle TOTP MFA.
        // ...
      } else {
        // Unsupported second factor.
      }
    } else if (error.code == 'auth/wrong-password') {
      // Handle other errors such as wrong password.
    } ...
  });

כל הכבוד! התחברתם בהצלחה כמשתמש באמצעות אימות רב-שלבי.

המאמרים הבאים