使用firebase实时数据库进行身份验证，无需用户

Question

我有一个firebase实时数据库，具有读/写功能，但是我没有任何用户，也不打算对用户进行身份验证。数据由事件侦听器和调度器（java）编写，我的html ui应用程序应该只读取数据。

我应该如何保护我的db？

在开发（不安全）模式下，我可以使用任何http客户端来写/读数据？如何在保护身份验证后通过身份验证？

Answer 1

要只允许您的网站读取，只允许您的后端写入，您需要将安全规则与Firebase应用程序检查相结合。

首先，在安全规则中，您将执行以下操作：

{
  "rules": {
    ".read": true,
    ".write": false
  }
}

这样，每个人都可以读取您的整个数据库（稍后我们会将其限制在您的应用程序中），并且不允许任何拥有客户端SDK的人对其进行写入。

我强烈建议在规则中添加一些额外的逻辑来限制人们读取数据的方式。例如，如果您的代码首先读取用户列表，然后显示来自选定用户的帖子，请修改您的规则以只允许该特定路径，并拒绝其他任何内容。

现在有了规则，您将希望开始使用App Check来减少人们获取您的配置数据并自行调用API所造成的滥用。

应用程序检查不能保证这种情况不再发生（尤其是在web上），但它肯定会增加恶意用户的工作量。