Firebase您的云Firestore数据库具有基本安全规则的不安全规则

Question

最近我收到了一系列Firebase通知，涉及：

[Firebase]您的Cloud FiRecovery数据库有不安全的规则

我们检测到您的安全规则存在以下问题：任何用户都可以写入您的整个数据库。因为您的项目没有强大的安全规则，任何人都可以访问您的整个数据库。攻击者可以窃取、修改或删除您的数据，并会抬高您的账单`

Edit2：我需要的是允许每个人都写，而不需要登录，但是只有管理员帐户应该能够从Firebase控制台读取它。

实时数据库规则：

{
  "rules": {
    ".read": "auth != null",
    ".write": "auth != null"
  }
}

云火力恢复规则：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow write;
    }
  }
}

编辑：JSON中的一个数据库结构，其他看起来类似：

{
  "battles" : {
    "-KjiAFLI8oE_12345678" : {
      "full" : true,
      "player1" : {
        "movement" : {
          "down" : false,
          "left" : false,
          "right" : false,
          "up" : false
        },
        "position" : {
          "x" : 0,
          "y" : 0
        }
      },
      "player2" : {
        "movement" : {
          "down" : false,
          "left" : false,
          "right" : false,
          "up" : false
        },
        "position" : {
          "x" : 0,
          "y" : 0
        }
      }
    },
    "-KjiAMVvJydR12345678" : {
      "full" : true,
      "player1" : {
        "movement" : {
          "down" : false,
          "left" : false,
          "right" : false,
          "up" : false
        },
        "position" : {
          "x" : 0,
          "y" : 0
        }
      },
      "player2" : {
        "movement" : {
          "down" : false,
          "left" : false,
          "right" : false,
          "up" : false
        },
        "position" : {
          "x" : 0,
          "y" : 0
        }
      }
    }
  }
}

Edit3：与Firebaser回复Firebase电子邮件时说我的实时数据库有不安全的规则相反，我不想/使用Firebase身份验证/SSO。

鉴于这些情况，我是否必须/应该以某种方式修改它们？

Answer 1

我收到了这些电子邮件，但是没有什么可以解决我的问题，因为这就是我的系统的工作方式。

就你而言，原因是：

allow write;

在你的云端Firestore规则。这意味着任何人都可以从任何地方访问数据库。

因此，

攻击者可以窃取、修改或删除您的数据，并会抬高您的账单。

将此规则更改为仅允许经过身份验证的访问，警报应停止。卢卡S。

Answer 2

我可以想到两种解决方案，而不会危及安全（在某种程度上）：

1. 您可以对用户使用身份验证，并且只允许对经过身份验证的用户进行读或写访问。（我知道这是一个麻烦，特别是在编码游戏时。）像这样：

match /databases/{database}/documents {
    match /{document=**} {
      allow write: if request.auth != null;
    }
  }
}

例如：

match /Users-xQnFiECweq {
    match /Courses-QrmGvMgF9C {
        match /{multiSegment=**}{
            allow write;
        }   
    }
}

文档或集合名称末尾的字符串值有点像只有你知道的密码，这使得其他人很难猜测你数据库的确切结构。

我理解这是一种有点奇怪的方法，但它比只给每个人提供写权限要好。