Firebase实时数据库-具有匿名身份验证的规则

Question

我正在使用Firebase实时数据库编写一个应用程序。有了这个应用，你可以创建视频，然后可以与任何人共享。我使用Firebase匿名身份验证。

我不希望用户需要注册或登录。所以这些投票是完全匿名的。实时数据库有以下规则：

  "rules": {
    ".read": "auth.uid != null",
    ".write": "auth.uid != null",
  }
}

据我所知，这意味着只有使用我的应用程序（为他们创建了匿名ID）的人才能读写数据库，对吗？

或者有没有其他方法可以让用户不用应用程序访问数据库？

Answer 1

auth。uid！=null规则要求用户登录到您的项目。这与他们是否在使用你的应用程序无关。

任何人都可以在你的应用中找到配置数据，用它来调用你的应用调用的相同的应用编程接口，以这种方式在你的项目中创建一个用户，然后运行他们想要的任何代码（包括删除数据库的根）。

为了正确地保护数据库，您必须确保规则完全允许您的代码做什么，仅此而已。如果你与应用程序的代码一起开发规则，而不是在所有代码运行后尝试添加安全性，这通常是最简单的。

我的食谱通常是：

1. 完全关闭数据库

一个新的选择是使用Firebase应用程序检查，它只允许从应用程序访问，从而减少滥用的机会。通常情况下，您会希望使用App Check进行广泛的保护，然后使用安全规则对谁可以访问哪些数据进行细粒度的控制。