Firebase Rest API 简单令牌身份验证

Question

我想使用他们的 Restful API 将我的应用程序的统计信息保存到 Firebase。

而且因为这不能公开（写入和读取统计数据），我必须使用 Firebase 身份验证。

我认为最简单的方法是拥有一个STATS_WRITE_TOKEN 和一个STATS_READ_TOKEN，并在 Firebase 的“安全规则”选项卡中使用它们。

那么，我的安全规则应该是什么样的？

-- 可以使用 Firebase 中的“秘密”选项卡生成令牌。

Answer 1

如果您要使用您的密钥，则会绕过安全规则，因此无需包含任何权限。您可以简单地限制对世界其他地方的访问：

{
  "rules": { ".read": false, ".write": false }
}

如果您想进一步限制您的应用程序，并避免在 REST URL 中传递您的秘密，您可以generate a token for your app，给它没有到期日期，并为您可以在安全规则中引用的令牌添加一些值（例如 isMyApp: true):

{
   "rules": {
      ".read": false,
      ".write": false,
      "stats": {
         ".read": true, // allow world to read?
         ".write": "auth.isMyApp === true" // but only my app can write
      }
   }
}