是否可以在生产环境中查看 Angular.js 应用程序的配置文件？

Question

我最近在一家开发 Angular.js 网络应用程序的公司工作。他们使用 Firebase 作为他们的数据库解决方案，在 app 目录下的应用配置文件中，他们使用 Firebase 密钥绕过 Firebase 的身份验证。

我想知道，它有多安全？有人可以通过 DevTools 或其他方法读取生产中的 Firebase 密钥吗？在配置文件中使用身份验证凭据是一种好习惯吗？丑化这些文件有什么帮助吗？

更新：

他们在 Angular.js 应用程序和其中一台 Node.js 服务器（他们有多个存储库）中都使用了密钥。

我想知道应用程序中的密钥相对于服务器的安全性如何？

Answer 1

了解 Firebase 数据库的秘密后，您就可以拥有对该数据库的管理员级别访问权限。因此，它不应与您的应用程序的用户共享，除非您对所有用户都访问您的数据库感到满意。如果您对此感到满意，那么您也可以不实施安全规则。

如果它是一个纯 AngularJS 应用程序，除了 Firebase 之外没有任何服务器组件，那么所有代码​​都必须在用户的浏览器中运行。这意味着秘密将在用户的浏览器中，正如所解释的那样，这是一个安全风险。

对文件进行修饰/混淆并没有显着帮助：价值仍然存在。解决方案是让用户正确地进行身份验证，这样您就可以保护数据库免受未经授权的访问。