如何通过在“官方”身份验证数据库中检查正确的用户ID来保护Firebase

Question

我有使用Firebase身份验证的电子邮件功能注册的用户。只有经过身份验证的用户才应该写入我的FiRest数据库。

我的规则（来自文档）：

allow write: if request.auth != null;

允许访问存在非空身份验证对象的每个请求。这似乎不是很安全。因为你可以用任何auth={something:“hacker”}对象发出请求。

所以，为了避免这个问题。如何检查给定的请求。啊。uid实际上是来自Firebase身份验证服务的吗？




Answer 1

这套规则对我很管用。

service cloud.firestore {
 match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if request.auth.uid != null;
    }
  }
}

Answer 2

请求。auth变量由服务器上的Firebase根据每次请求时从客户端发送的ID令牌自动填充。为给定的Firebase项目生成ID令牌需要您有权访问该项目的管理凭据。

这意味着，只要确保不公开共享项目的管理凭据，任何人都不能将自己的信息注入ID令牌，这就是请求。数据库中的auth对象实际上是安全的，不会被篡改。

您问题中的规则限制了谁可以写入数据，因为用户需要登录到Firebase身份验证才能写入数据。您通常还希望通过控制访问权限（例如，只允许他们访问自己的数据）和验证他们编写的数据来限制用户的操作。