如何修复.git暴露的firebase漏洞

Question

我最近收到了一封涉嫌开放扫描的电子邮件：https://smitka.me/

它说：

问题是您的网站上有一个公开可用的 git 存储库。你可以通过访问 /.git/HEAD 来检查它。当您访问目录 /.git 时，您通常会收到 403 错误，因为没有 index.html/.php 文件并且您不允许显示目录列表/自动索引（如果您可以看到目录结构，则说明您的网络服务器配置错误– 这是另一种类型的漏洞）。尽管 403 可以直接访问文件。这是我从 /.git/logs/HEAD 中找到您的电子邮件地址的方式，它是包含提交者详细信息的提交列表。

我不是这方面的专家，我只是使用 firebase 控制台部署了我的站点。我使用 git 将我的文件夹置于版本控制之下，并且 屏幕截图将显示项目文件夹根目录中的文件夹结构，并显示隐藏文件。

在上面发布的链接中，提供了缓解示例，但我认为它们适用于可以控制其服务器的人 - 我运行 firebase 托管，似乎没有这样的控制。

问题：

1. 这是一个安全漏洞吗？
2. 如果是这样，我该如何缓解？

Answer 1

最少的努力可能是从部署中排除目录.git，使用firebase.json：

{
  "database": {
    "rules": "database.rules.json"
  },
  "hosting": {
    ...
    "ignore": [
      "README.md",
      "firebase.json",
      ".firebaserc",
      ".git",
      ".gitignore",
      ".idea",
      ...
    ]
  }
}

底线是：只部署服务页面所必需的内容。