是否可以从计算机伪造对 Firebase 的设备请求？

Question

让我们假设这种情况：
我使用 Universal Unique IDentifier 来识别我的用户而不是密码（我有我的理由）。
我使用Shared Preferences 存储 UUID，因此，它存储在设备中。
我想知道在从手机检索 UUID 后，是否有某个用户（不同于使用我的应用程序的合法人）（之后植根手机），可以使用该 UUID 伪造对 Firebase 的请求，并获取有关合法用户的敏感信息。

提前感谢您的帮助。

Answer 1

使用单个标识符来验证用户身份，而不是电子邮件+密码的组合（或者更好的电子邮件+密码+第二个因素）总是不太安全。

一旦恶意行为者截获标识符，他们就可以永远代表该用户执行操作。 Firebase 身份验证令牌不易受到此类拦截，因为它们每小时都会刷新一次。

如果您不想要求用户登录，请考虑使用Firebase Authentication's anonymous sign-in。这将为您提供每小时刷新一次，这是您当前的方法所缺少的。