保护firebase数据不受授权用户的影响，以更新他们自己的数据

Question

我的应用程序使用谷歌的AngularJS Firebase身份验证。当用户注册到应用程序时，它会在数据库中创建该用户的条目，如下所示：

user
  ->Firebase Unique Key
           -> UserId: "google ID"
           -> User Name: "User Name"
           -> Payment Status:"No"

现在，一旦用户登录，用户将看到付款选项，一旦付款完成，该特定ID的数据库值将根据“付款状态”填充，如上面的JSON所示。一旦付款状态为“是”，则只允许用户查看主页。

我创建了如下所示的安全规则：

{
"rules": {
    ".read": "true",

  "user":{
    ".write": "auth.provider == 'google' && auth.uid!=null"

  }
}}

现在的问题是：任何可以使用谷歌登录的用户都有权写入该数据库。因此，一旦用户获得授权，用户就可以在数据库中进行更改。用户还可以从localhost运行自己的代码，并可以对数据库进行更改。我不希望任何用户侵入数据，将支付状态标记为“是”，然后进入主网站。

如何确保授权用户不会在此数据库中执行任何恶意活动。

Answer 1

Firebase使用基于身份的安全模型：根据用户的身份保护对数据的访问。一旦您授权用户编写特定属性，他们就可以编写该属性。

在您的用例中，允许用户更改其支付状态似乎是个坏主意。因此，他们不应该拥有对该属性的写访问权限，无论他们运行的是你的应用程序还是他们自己的代码。

因此，必须在该字段中设置另一个实体。这可以是人工管理员或服务器。

人际交往并不像你想象的那么罕见。许多web服务都是从所有者检查付款并更新受保护的元数据（场景中的付款状态）开始的。一旦这变得难以管理，你可能已经准备好接受另一种选择了。

服务器可以在受信任的凭据下运行，执行必要的检查，然后设置用户的支付状态。请注意，这不一定是一个非常强大的服务器，因为它所做的只是与Firebase数据库交互。请参阅本文以获得良好的解释。