如何在Firebase 3.x中停用注册功能

Question

我使用firebase.auth（）创建了一些用户。signInWithEmailAndPassword，并希望立即停止注册，但请继续登录。我尝试了一些关于用户的规则，甚至完全停止了对firebase的写入。然而，登记仍然是可能的。在控制台中禁用电子邮件/密码也会禁用登录。

{
  "rules": {
        ".read": true,
        ".write": false,
      }
}

知道如何在Firebase 3中将安全规则应用于用户吗？

Answer 1

更新：现在可以从Firebase控制台禁用注册和帐户删除。

如果启用云身份API，则可以禁用用户的注册和删除帐户操作，并将其限制在Admin SDK中。

您可以访问https://console.cloud.google.com/customer-identity/settings以禁用它们。

在现有项目上启用API时，您可能会收到此通知：

禁用后，使用createUserWithEmailAndPassword方法返回400错误：

{
  "error": {
    "code": 400,
    "message": "ADMIN_ONLY_OPERATION",
    "errors": [
      {
        "message": "ADMIN_ONLY_OPERATION",
        "domain": "global",
        "reason": "invalid"
      }
    ]
  }
}

请注意，您仍然可以使用Admin SDK创建新用户。

可以在此处找到相同的文档

Answer 2

好吧，这个问题已经问了好几天了，但也许这对那些仍然想知道答案的人有帮助，我们仍然不能简单地禁用新帐户创建，但我们可以使用Firebase函数：

以下是使用云功能自动禁用新用户的解决方法。

const functions = require('firebase-functions');
const admin = require('firebase-admin');
    
exports.blockSignup = functions.auth.user().onCreate(event => {
  return admin.auth()
    .updateUser(event.uid, {disabled: true})
    .then(userRecord => console.log(`Auto blocked user: ${userRecord.toJSON()}`))
    .catch(error => console.log(`Error auto blocking: ${error}`));
});

请记住，当您使用Firebase web控制台或由第三方创建用户时，会触发此功能。因此，您必须创建、等待函数，然后启用用户。

Answer 3

Firebase明确地将身份验证(登录到应用程序)与授权(从应用程序访问数据库或存储资源)分开。

如果不禁用所有用户的登录，则无法禁用注册，这不是您想要的。

在典型情况下，开发人员将根据经过身份验证的用户开始保护数据库/文件访问。请参阅文档中有关数据库安全性和存储安全性的相关部分。

如果您的用例是只希望特定用户具有访问权限，则可能需要实施白名单：允许访问数据的用户列表。

您可以在安全规则中执行此操作：

{
  "rules": {
        ".read": "auth.uid == '123abc' || auth.uid == 'def456'",
        ".write": false,
      }
}

或者（更好的）通过将允许的 uid 列表放在数据库中并从安全规则中引用该列表：

"allowedUids": {
    "123abc": true,
    "def456": true
}

然后：

{
  "rules": {
        ".read": "root.child('allowedUids').child(auth.uid).exists()",
        ".write": false,
      }
}