如何获取Firebase函数请求的源URL？

Question

我试图构建一个仅当源URL位于allowlist上时才执行逻辑的应用程序。我正在尝试使用以下方法获取Firebase函数内部的源URL：

我试图从这个堆栈溢出帖子中使用这些：

req.get('Referrer')
req.get('Referer')
req.headers.referer
req.headers.referrer

所有返回未定义。

我试图从堆栈溢出帖子中整合此函数：

function getOriginUrl(req: any) {
    return req.protocol + '://' + req.get('host') + req.originalUrl
}

这返回我的云函数的基本url

https://us-central1-secured-1q4fq.cloudfunctions.net/

我真正想看到的是发布文章的url。我用这个来写这篇文章，所以我希望看到：

 https://reqbin.com

Answer 1

也许你试图找到如何阻止其他网站发送的请求，而不是你自己的网站。

您可以使用NPM库CORS。

例如，您的函数只允许由localhost发送的请求。

import * as cors from 'cors';
const corsHandler = cors({
  origin: [
    'http://localhost:4200',
    'http://127.0.0.1:4200',
    'http://localhost:5000',
    'http://127.0.0.1:5000',
  ],
});

Answer 2

代码很好。与浏览器不同，浏览器会根据使用的策略自动生成此标头，您需要在reqbin（或任何API工具，如Postman）上设置referer标头，例如：

Referrer :  https://reqbin.com 

然而，使用此标头存在安全问题，因为它很容易操作。你应该知道这一点。

保护Firebase功能的更好解决方案是使用Firebase身份验证。这里有一个注意事项：

HTTP请求不是“来自域名”。HTTP请求似乎来自IP地址，其流量通过全球网络路由。您可以尝试将执行限制到某些源IP，但这些IP地址不能保证识别请求的真正来源。

如果您想保护您的函数不被执行，最好需要一些其他类型的安全性来识别请求的发起人。

Firebase团队提供了示例代码，说明如何限制仅来自通过Firebase身份验证的用户的请求。您还可以要求客户机发送一个授权其使用函数的密钥。

附加参考：

• https://www.quora.com/What-are-the-solutions-to-make-my-Firebase-cloud-functions-private-so-that-only-requests-sent-from-a-specific-domain-name-will-be-processed-1/answer/Doug-Stevenson-1