云功能能否绕过 Firestore 安全规则答案

【问题标题】：Can cloud functions bypass firestore security rules云功能能否绕过 Firestore 安全规则
【发布时间】：2019-12-27 19:22:41
【问题描述】：

我最近开发了实施 firestore 和 firestore 安全规则。

某些经过身份验证的用户可以获取由他们创建的数据，这是该应用的功能之一。

即， A 创建 X B创造Y A 不能访问 Y，B 不能访问 X。

这是使用安全规则来确保的。

我部署了带有云功能的应用程序，它充当了一个 api。

模拟安全规则没有失败，但是当通过postman之类的工具调用api访问时， A 可以访问 Y 和 X B 可以访问 X 和 Y。

我阅读了这个堆栈溢出问题，它讨论了如果由 firebase-admin sdk 使用，则覆盖安全规则，这就是我正在使用的。

但我只是好奇，有没有其他方法可以限制外部 api 工具获取这样的数据？

这里是link

【问题讨论】：

【解决方案1】：

来自任何后端 SDK 的对 Firebase 和云产品（实时数据库、云 Firestore、云函数）的所有访问都将完全绕过安全规则。这包括 Firebase Admin SDK 和任何其他 Cloud SDK。安全规则仅适用于 Web 和移动客户端访问。

【讨论】：

【解决方案2】：

是的，会的

我启用了以下规则！尽管如此，我还是能够使用通过 Created API 帮助云功能

/* The following code blocks whole database access*/


match /databases/{database}/documents{
match /{document=**}{
allow read, write:if false;
}}

【讨论】：