这种保护我的网站的方式是否足够安全？我怎样才能使我的网站的保护是服务器端的？ [复制]

Question

只要有人没有登录，我想让我的网站被“锁定”。实现的登录系统使用 Google Firebase，所以我可以让用户登录变得简单而安全。

目前我编写了一个 if 语句，如果你没有登录，它会将你重定向到登录页面。我知道它很容易被绕过，因为脚本是客户端，所以我想问一下最好的方法是什么让我让这个过程更安全。我考虑过在用户登录时使用脚本将整个 html 插入页面，但这也意味着整个 html 将位于客户端脚本中，这是不好的。

auth.onAuthStateChanged(function(user) {
  if (user) {

    if(window.location.href =="login.html"){
    mail = user.email;
    window.alert("on login logged in. redirecting to index User Email: " + mail);
    window.location.replace ("index.html");

    }
  } else {
    window.alert(window.location.href);
    if(window.location.href !="login.html"){
    mail = null;
    window.alert("not on login and logged out. Redirecting to login page Email: " + mail);
    window.location.replace = "login.html";

    }
  }
});

Answer 1

如果您的网站托管在 Firebase 托管上，则所有文件都是公开的。没有办法阻止用户访问特定文件。见Firebase Hosting - password protect website?和Can Firebase hosting restrict access to resources?

也就是说，秘密信息通常不直接在您的 HTML 中，而是在您从服务器加载的其他资源中，例如从数据库中。如果您使用的数据库来自 Firebase（Cloud Firestore 或实时数据库），您可以使用 Firebase's server-side security rules 确保只有授权用户才能访问数据。如果您使用其他数据库或您自己的后端来提供需要保护的数据，请在您自己的后端代码中查看verifying ID tokens，以确保其授权用户访问数据。