如何防止从浏览器控制台访问 Firebase 实时数据库？

Question

我有这个 JavaScript 代码，用户可以在其中使用他们的 google 帐户登录我的应用程序。

//firebase db congifurations
const config = {
  apiKey: "my_api_key",
  authDomain: "my-app.firebaseapp.com",
  projectId: "my-app",
  databaseURL: "https://my-app.firebaseio.com",
};

//signin callback implemented using - https://developers.google.com/identity/sign-in/web/sign-in
function onSignIn(googleUser) {
  var profile = googleUser.getBasicProfile();

  let fullName = profile.getName().split(" "); 
  let userName = profile.getEmail().replace(/@.*$/, "");

  if (!firebase.apps.length) {
    firebase.initializeApp(config);
  }
  this.database = firebase.database();

  let userRef = this.database.ref("users/" + userName);
  userRef.set({
    firstName: fullName[0],
    lastName: fullName[1],
    displayPicture: profile.getImageUrl(),
  });
}

当我执行此代码时，将调试器放在let userRef = this.database.ref("users/" + userName); 并尝试在控制台上运行：

 userRef.set({
    firstName: "Clutch",
    lastName: "Prince",
    displayPicture: "any_url_that_i_want_to_inject",
  });

这个实际上被执行了，我的数据库受到了影响。有没有一种安全的方法来做到这一点？

我的实时数据库规则：

{
  "rules": {
    ".read": true,
    ".write": true
  }
}

Answer 1

Firebase 规则是最重要的部分。 除了您之外，没有人可以编辑它们。因此，请确保它们是安全的。你有.write: true 意味着任何人都可以编写你的数据库。 为了防止这种情况发生，您应该有安全的规则。您可以查看this link 了解大多数规则组合。

看你的问题，设置规则如下：

{
  "rules": {
    "Users": {
      "$uid": {
        ".read": "$uid === auth.uid",
        ".write": "$uid === auth.uid" 
      }
    }
  }
}

确保将所有用户数据存储在不同的节点中。将节点值保留为其 UID。那么上面的规则应该很方便?

现在用户可以只编辑或阅读他们的信息。即使他们尝试通过控制台对其进行编辑，至少您可以确保其他人的安全。 如果这是一场游戏，如果你发现它们，一定要继续加罚XD。

这仍然允许用户至少编辑他们的信息，如前所述。因此，如果您要存储某种游戏统计信息以及玩家拥有多少资源，那么您需要通过执行以下操作来阻止写访问： ".write": false

现在这可能会让您感到困惑，如果写访问被拒绝，那么玩家将如何更新他们的分数或者如何将用户名添加到数据库中。

为此，您需要依赖云功能。每当新玩家创建帐户时，我都会运行一个添加默认级别和其他内容的云功能。下面是一个代码示例：

export const onNewuserJoined = functions.auth.user().onCreate((user) => {
    const newUserUID = user.uid
    const newUserEmail = user.email

    return Promise.all([
    admin.database().ref(player_stats_path).set({ "Level": initLevel, "Cash": initCash}),
    admin.database().ref(player_info_path).set({ "UID": newUserUID, "E-Mail": newUserEmail})
    ])
})

现在这些player_stats_path 和player_info_path 将只有读取访问权限，因此除了云功能作为OVERRIDE 存在的任何规则之外，没有人可以弄乱它。如果您需要在某人完成某项特定任务时更改他们的统计信息，您只需要通过云功能来完成。很高兴所有游戏代码都在后端。