firebase 安全规则 - 公开与经过身份验证

Question

我希望这是提出此类一般性问题的合适论坛。

如果我不限制只有经过身份验证的用户的读写规则，firebase 声明任何人都可以从数据库读取和写入。但是当应用程序自己决定让谁读/写时，任何人都可以读写怎么办？

是因为理论上黑客可以侵入数据库并从集合中读取/写入吗？如果是这样，当规则仅限于经过身份验证的用户时，经过身份验证的黑客可以获取私人数据，例如不在其用户范围内的内容。

简而言之，如果将规则设置为允许公共用户和经过身份验证的用户访问数据库，这有什么区别，而实际上开发人员是决定应用程序中这些限制的人，就像应用程序的方式一样与 firebase 通信？

提前致谢

Answer 1

应用本身并不是您的数据库可以接收的唯一流量来源。您的数据库公开了一个任何人都可以直接调用的 REST API，它有效地允许在数据库中不受保护的任何地方进行读写访问。 （Firestore 或实时数据库都提供公共 REST API。）攻击者唯一需要知道的是您的项目名称，并且该字符串在您首次发布应用程序后实际上是公开的。

此外，该应用程序可能会受到攻击，从而让攻击者在您的应用程序中为所欲为。对于 Web 应用程序来说，这种类型的妥协相当容易。您不应该盲目地假设您的应用的用户也没有修改它的工作方式，因为他们实质上控制着运行它的硬件。