Firebase电子邮件称我的实时数据库存在不安全规则

Question

我最近收到一封来自Firebase的电子邮件，告诉我我的实时数据库有不安全的规则。这些是我设置的规则：

{
  "rules": {
    ".read": "auth != null",
    ".write": "auth != null"
 }
}

这不是一条安全规则吗？

电子邮件/密码是我启用的唯一登录方法。

Answer 1

您还可以通过访问电子邮件底部的链接来禁用警报。

https://console.firebase.google.com/subscriptions/project/

Answer 2

这里是firebaser

很抱歉，如果邮件没有明确说明这些规则的不安全之处。确保用户数据的安全对于任何可用的应用程序来说都是至关重要的一步，因此我将在下面详细解释这一点。

您拥有的（默认）规则允许任何登录到后端的人对整个数据库进行完全读/写访问。这只是一个非常基本的安全层。

一方面，这比只允许每个人访问您的数据库更安全，至少他们必须登录。

另一方面，如果您在Firebase身份验证中启用任何身份验证提供商，任何人都可以登录到您的后端，即使不使用您的应用程序。根据提供商的不同，这可以像在浏览器的开发人员控制台中运行一点JavaScript一样简单。一旦他们登录，他们就可以读取和写入数据库中的任何内容。这意味着他们可以用firebase这样的简单命令删除所有数据。数据库（）。ref（）。删除（）。

为了使数据访问更加安全，您需要更严格地控制每个登录用户可以做什么。例如，假设您在/user下保存了一个包含每个用户信息的配置文件。您可能希望允许所有用户访问这些配置文件，但您肯定希望用户只被允许修改自己的数据。您可以使用以下规则来保护这一点：

{
  "rules": {
    "users": {
      ".read": true,
      "$user_id": {
        // grants write access to the owner of this user account
        // whose uid must exactly match the key ($user_id)
        ".write": "$user_id === auth.uid"
      }
    }
  }
}

有了这些规则，每个人（即使是未经身份验证的用户）都可以读取所有配置文件。但每个配置文件只能由其配置文件所在的用户修改。有关这方面的更多信息，请参阅Firebase有关保护用户数据的文档。

除了确保对数据的所有访问都经过授权之外，您还需要确保存储的所有数据对您的应用程序的任何规则都是有效的。例如，假设您想为用户存储两个属性：他们的姓名和年龄（为了便于示例，实际上您可能会存储他们的出生日期）。因此，您可以将其存储为以下内容：

"users": {
  "uidOfPuf": {
    "name": "Frank van Puffelen",
    "age": 48
  }
}

要确保只能写入此数据，可以使用以下规则：

{
  "rules": {
    "users": {
      ".read": true,
      "$user_id": {
        ".write": "$user_id === auth.uid",
        ".validate": "data.hasChildren('name', 'age')",
        "name": {
          ".validate": "data.isString()",
        },
        "age: {
          ".validate": "data.isNumber()",
        },
        "$other: {
          ".validate": false
        }
      }
    }
  }
}

这些规则确保每个用户配置文件都有一个分别带有字符串和数值的名称和年龄属性。如果有人试图写入任何其他属性，写入操作将被拒绝。

以上是关于如何保护（用户）数据的快速入门。我建议您查看Firebase安全文档（以及嵌入式视频）了解更多信息。

更新：自2021年5月起，您还可以使用Firebase应用检查来限制对来自您网站或应用的呼叫的访问。这是减少数据库滥用的另一种快速方法。不过，这种方法并不万无一失，因此您需要将应用检查与细粒度控制的安全规则结合起来，以获得广泛保护。