将 Cloud Firestore 限制为特定域

Question

有没有办法限制 Cloud Firestore（用于托管/网络）进行 CRUD 操作，仅限于一个域，比如 xyz.com？

例如，下面的规则在未经授权的情况下锁定了read, update, delete，但您仍然可以将write 的东西写入数据库。

service cloud.firestore {
  match /databases/{database}/documents {
    match /coming-soon-email-ids/{document=**} {
      allow write;
      allow read, update, delete: if request.auth.uid == !null;
    }
  }
}

还是我必须在其中集成 Google 的防火墙？

Answer 1

Firebase 安全规则无法限制对网络域的访问。在非常普遍的意义上，这是不可能的，因为 Firestore 旨在从世界各地的移动客户端访问，使用 Web、Android 和 iOS。 Android 和 iOS 客户端似乎从未来自某个域。他们只是通过提供的客户端库或有时通过 Firestore REST API 直接访问数据库。 Web 客户端甚至可以欺骗他们明显的域（只有在 HTTP 请求中不安全的“Referrer”标头才真正可用）。

您只能真正限制使用 Firebase 身份验证登录到您的应用或网站的用户的访问权限，但您不能限制他们的来源哪里。

Answer 2

我有同样的问题，我想出了一个解决方案。您可以匿名登录：

const signIn = async () => {
auth.signInAnonymously()
.then(() => {
  // Signed in..
})
.catch((error) => {
  var errorCode = error.code;
  var errorMessage = error.message;
  // ...
});

然后你可以把你的规则像：

allow read, write: if request.auth != null;

然后在身份验证中，您可以激活匿名方法登录并添加您的授权域。