在没有用户的情况下使用 firebase 实时数据库进行身份验证

Question

我有一个可以对所有人进行读/写的 firebase 实时数据库，但是我没有任何用户，也不打算对用户进行身份验证。数据由事件侦听器和调度程序（java）写入，我的 html ui 应用程序应该只读取数据。

我应该如何保护我的数据库？

在开发（不安全）模式下，我可以使用任何 http 客户端写入/读取数据吗？安全后如何通过身份验证？

Answer 1

要只允许您的网站读取，而只允许您的后端写入，您需要将安全规则与 Firebase 应用检查相结合。

安全规则

首先在安全规则中，你会做：

{
  "rules": {
    ".read": true,
    ".write": false
  }
}

这使每个人都可以读取您的整个数据库（我们稍后会将其限制为您的应用程序），并且不允许任何拥有客户端 SDK 的人对其进行写入。

我强烈建议在规则中添加一些额外的逻辑来限制人们读取数据的方式。例如，如果您的代码首先读取用户列表，然后显示来自选定用户的帖子，请修改您的规则以仅允许该特定路径，并拒绝其他任何内容。

应用检查

现在规则已经到位，您将希望开始使用 App Check 来减少人们获取您的配置数据并自行调用 API 的滥用行为。

App Check 不能保证这种情况不会再发生（尤其是在网络上），但它肯定会增加恶意用户必须做的工作。