实时数据库Firebase安全规则问题

Question

我在Android Studio中创建了一个应用程序，并将其与Firebase实时数据库链接。我需要执行3次验证：

>

由Firebase通知服务生成的一次性PIN和手机验证。

在下一个屏幕上，用户的pin会根据我的数据库进行检查，最后他会进入菜单屏幕。

现在，我不知道应该设置什么作为我的安全规则，因为身份验证是在第2步进行的，所以我不能使用“auth”来设置规则，如果没有“auth”，数据库将是公共的（据我所知，如果我错了，请纠正我），这是不安全的。我们能做些什么？

Answer 1

实际上，正如您所提到的，在步骤1中没有身份验证。因此，如果您想“直接”读取实时数据库以检查电话号码是否存在，则无法避免每个人都可以访问实时数据库节点，该节点列出了所有电话号码。

另一种选择是使用云函数，该函数将通过HTTPS（作为RESTAPI）调用，并检查给定的电话号码是否在授权电话号码列表中。

通过这种方式，您可以对电话号码列表应用一些限制性的读取访问规则，因为云功能将以管理员的身份访问它。你只允许检查一个电话号码是否被授权，而不是公开所有电话号码的列表。

查看留档以阅读如何创建可以通过HTTP请求触发的函数https://firebase.google.com/docs/functions/http-events

基本上你会这样做：

exports.checkPhoneNbr = functions.https.onRequest((req, res) => {
  let phoneNumberToCheck = req.query.phoneNumber;

  return admin.database().ref('/phoneNumbers/' + phoneNumberToCheck).once('value').then(snapshot => {
    if (snapshot.val()) {
       //the phone number exists, do something, i.e. write to another database node or send back a successful HTTP response
      //i.e. res.status(200).send("PhoneNbrExists");
    } else {
       //i.e. res.status(200).send("PhoneNbrDoesNotExist");
    }
   }
}

所以：

1/从Android应用程序（通过HTTPS）调用此函数，在函数URL的查询字符串中输入电话号码

2/云函数检查电话号码是否存在。如果存在，它可以发回一条成功消息（或写入实时数据库的其他节点）。如果没有，它会发回一条失败消息。

3/在Android应用程序中，在收到云功能的响应后，继续（或不继续）下一步

另外，请查看函数示例，尤其是HTTPhtml" target="_blank">示例，如：

https://github.com/firebase/functions-samples/blob/master/quickstarts/time-server/functions/index.js