在Firebase中使用NodeJ-安全性

Question

由于需要执行一些服务器端代码-主要是发送电子邮件，因此我决定将Nodejs＆Express与Firebase一起用于服务器端元素以保存数据-
部分是出于学习经验。

我的问题是，在使用简单电子邮件和密码API进行身份验证时，使用客户端Firebase库和Nodejs库的最佳方法是什么？如果我执行身份验证客户端，然后随后在NodeJS端调用其他路由，则该用户的身份验证将在请求中进行。在Node中验证用户身份的测试方法是什么。

我假设的一种方法是从firebase获取当前用户的用户名和密码，然后将其发布到NodeJS，然后使用服务器上的firebase安全API进行测试。

Answer 1

从本质上讲，这里的问题是，您需要安全地向您的NodeJS服务器传达已通过Firebase身份验证的客户端。有几种方法可以解决此问题，但最简单的方法可能是让所有客户端<->
NodeJS通信都通过Firebase本身进行。

因此，不要让客户端点击由NodeJS服务器提供服务的REST端点，而是让客户端写入NodeJS服务器正在监视的Firebase位置。然后，您可以使用Firebase安全规则来验证客户端写入的数据，并且服务器可以信任该数据。

例如，如果您想这样做，以便用户可以通过您的应用程序发送任意电子邮件（NodeJS服务器负责实际发送电子邮件），则可以在/
emails_to_send位置设置以下规则：

{
  "rules": {
    "emails_to_send": {
      "$id": {
        ".write": "!data.exists() && newData.child('from').val() == auth.email",
        ".validate": "newData.hasChildren(['from', 'to', 'subject', 'body'])"
      }
    }
  }
}

然后在客户端中，您可以执行以下操作：

ref.child('emails_to_send').push({
  from: '[e-mail]', 
  to: '[e-mail]', 
  subject: 'hi', 
  body: 'Hey, how\'s it going?'
});

在您的NodeJS代码中，您可以使用Firebase Secret调用.auth（）（这样您就可以读取和写入所有内容），然后执行以下操作：

ref.child('emails_to_send').on('child_added', function(emailSnap) {
  var email = emailSnap.val();
  sendEmailHelper(email.from, email.to, email.subject, email.body);

  // Remove it now that we've processed it.
  emailSnap.ref().remove();
});

这将是最简单也是最正确的解决方案。例如，如果用户通过Firebase注销，他们将不再能够写入Firebase，因此他们将不再能够使NodeJS服务器发送电子邮件，这很可能是您想要的行为。这也意味着，如果您的服务器暂时关闭，则在启动它时，它将“赶上”发送电子邮件，一切将继续正常进行。