Firebase Authenticated HTTP Endpoints - Cloud Functions，它们安全吗？

Question

所以，我看到了这个帖子：How to protect firebase Cloud Function HTTP endpoint to allow only Firebase authenticated users?

基本上 HTTPS 端点验证它来自authorized use by ensuring Bearer token/Firebase ID is in the Authorization HTTP header.

我想知道，如果有人找到了这个 Firebase ID，这个 HTTP 端点不会被攻破吗？也就是说，他们可以通过 Authorization: Bearer <Firebase ID Token> 传递一个不记名令牌

我见过其他方法将 Firebase 实时数据库用作 API 本身，这可能更安全。

很好奇我是否在这里遗漏了什么。

Answer 1

显然，您应该小心不要暴露这些令牌。但是您应该知道这些令牌expire after 1 hour 并且需要由经过身份验证的客户端刷新。这在使用 Firebase SDK 时会自动发生。因此，即使有人由于粗心的应用程序设计而捕获了其中一个令牌，它在现实世界中的用处也非常有限。