实时数据库从不安全到安全的规则，无需中断服务

Question

今天，我收到一封邮件，上面写着，

[Firebase]您的实时数据库“CC default rtdb”有不安全的规则，任何用户都可以读取您的整个数据库，任何用户都可以写入您的整个数据库

我的服务器每天都在运行，以便在实时数据库中存储值。当我开始这个Firebase项目时，我使用了基本的读写规则。

json prettyprint-override">{
  "rules": {
    ".read": true,
    ".write": true
  }
}

如果我现在更改规则，是否会影响我的外部节点。JS服务器无法将值存储到实时数据库中？

我甚至从移动应用程序访问这个数据库，所以如果规则发生变化，它会影响移动应用程序读取数据吗？

如何在不中断外部服务器和移动应用程序访问的情况下保护这些实时数据库规则（从公共到私有）？重要的是，我的外部服务器访问不得中断。

Answer 1

如果通过身份验证（登录）访问数据库，可以将节点设置为auth=空，因此任何未经授权的用户都无法访问它们。

您需要遵循以下步骤：

1. 对于需要公开的所有节点，将read设置为true
2. 将读/写设置为auth=空用于所有要向任何授权用户提供的节点
3. 为任何需要特殊访问权限的节点设置自定义验证规则（例如：用户只能写入其数据）

根据屏幕截图，如果任何人掌握了你的项目id，他们可以html" target="_blank">修改和窃取你的整个数据库。

您需要以与您的用例适当匹配的方式设置规则。据我所知：

• 允许外部服务器帐户访问整个数据库
• 允许移动应用有条件访问（可能由用户？）

以这个数据库为例：

{
  "top_level": {
    "users": [
      {
        "username": "X",
        "userId": "0"
      },
      {
        "username": "Y",
        "userId": "1"
      }
    ],
    "public_data": {
      "news": [
        {
          "title": "X",
          "body": "Y"
        }
      ]
    }
  }
}

我想设定：

• 节点新闻可以公开阅读（无auth）
• 节点用户只能供其他登录用户读取（auth）
• 节点用户的子节点只能为其id与节点userId中的值匹配的用户写

在这种情况下，规则是：

{
  "rules": {
    ".read": false,
    ".write": false,
    "top_level": {
      "users": {
        ".read": "auth!=null", 
        "$user_id": {
          ".write": "auth!=null && data.child('userId').val()===auth.uid"
        }
      },
        "news" : {
          ".read":true
        }
    }
  }
}

注意，顶层中设置为true的规则会覆盖内部规则。如果需要澄清，请发表评论。