Firebase 安全问题

Question

我不明白 Firebase 安全性如何工作

您好，我正在使用 Firebase 后端开发 React Native 项目。我已经完成了，在上传到应用商店之前，我想检查一下安全方面，但有一些事情我不明白。

1-如果我将 Firebase 密钥存储在 .env 文件中，下载应用程序的人不会看到它们吗？

2-我正在使用 Cloud Functions 访问数据库。如何防止HTTP请求链接可见并确保任何人都无法使用该地址发出请求？

3-是否需要从客户端实现认证系统？或者我可以仅通过云功能来完成此操作吗？我问这个是因为这样我就不需要在客户端中公开我的 Firebase 密钥。

4-我几乎不了解网络安全，也不了解如果我发布应用程序，攻击者可以或不能对我的应用程序做什么。如果有人可以向我发送有用的视频或帖子，我将不胜感激。

谢谢。

Answer 1

如果我将 Firebase 密钥存储在 .env 文件中，下载应用程序的人不会看到它们吗？

是的，但 firebase 密钥应该是公开的。安全性来自于几个不同的方面：

1. Firestore、实时数据库和存储可以制定限制谁可以读取/写入哪些属性的规则。
2. 如果需要，您可以让用户使用 firebase 身份验证登录。然后，您可以在 firebase 函数或上述规则中检查他们的身份验证状态。
3. 应用程序检查可以限制仅访问特定应用程序或特定网址。这可用于函数、存储和两个数据库。

如何防止HTTP请求链接可见

从某种意义上说，它是可见的，因为某人可能可以找出您正在访问的网址，并可以尝试将自己的 POST 发送到该网址，但您可以使用 #2 和/或 #3 来拒绝访问。

是否需要从客户端实现认证系统？

并非总是如此。如果每个人都可以访问完全相同的东西，那么你就不需要它。但如果您希望某些人能够访问而其他人则无法访问，则需要他们登录。