Firebase实时数据库-不安全规则

Question

我在Firebase中收到一条消息，告诉我我的项目实时数据库有不安全的规则。但当我检查它时，我不太明白什么是不安全的。

它显示如下：

{
  "rules": {
    ".read": true,
    ".write":  "(auth != null) && (auth.uid ==   '123...myUID ...xyz')",
    "CollectionOne": {
      ".indexOn": ["name", "url"]
    },
    "CollectionTwo": {
      ".indexOn": ["name"]
    }
  }
}

我保留了读取访问权限，因为它支持一个网站。所以任何访问该网站的人都应该能够读取数据。

至于写权限，据我所知，我是唯一能写的人。

请注意，我还有第三个系列（CollectionThree），规则中没有提到。这可能是原因吗？

除此之外，我还可以想象，只有web服务器可以获得读取权限，以便将内容提供给访问者，而不是直接提供给任何人，但我认为情况并非如此。如果是这样的话，我就不知道该如何设定这个规则。

如果有人能解释这一点，那将是有益的。

Answer 1

Firebase文档建议使用更具体的规则。（所以给每个集合你给整个数据库的规则肯定会有所帮助）

其中一个原因如下：

规则作为OR语句应用，而不是AND语句。因此，如果多个规则匹配一条路径，并且任何匹配的条件都授予访问权限，则规则将授予对该路径上的数据的访问权限。因此，如果一个广泛的规则允许访问数据，就不能用更具体的规则进行限制。然而，你可以通过确保你的规则没有太多重叠来避免这个问题。Firebase安全规则标志在匹配路径中重叠，作为编译器警告。

你可以在这里找到更多关于这个主题的信息

Answer 2

任何访问该网站的人都应该能够读取数据。

虽然这是一个有效的要求，但现在即使没有访问您网站的人也可以通过一个调用读取整个数据库。事实上，这就像打开网址https：//一样简单

通常，代码将以更细粒度的级别访问数据。事实上，看看您的规则，我希望您的代码运行查询或访问CollectionOne和CollectionTwo的各个子节点。如果应用程序代码就是这样做的，那么这也是安全规则应该允许的。

因此，更好的一步是：

{
  "rules": {
    ".write":  "(auth != null) && (auth.uid ==   '123...myUID ...xyz')",
    "CollectionOne": {
      ".read": true,
      ".indexOn": ["name", "url"]
    },
    "CollectionTwo": {
      ".read": true,
      ".indexOn": ["name"]
    }
  }
}

现在，我上面展示的URL模式将不再有效，恶意用户必须知道顶级节点的名称才能访问其中的数据。

有关这方面的更多信息，请参见：

• 应该对Firebase中的读取应用哪些安全规则？
• Firebase邮件说我的实时数据库有不安全的规则