我该如何防止其他用户通过我的 Firebase URL 访问我的实时数据库?为了只允许我的域名访问,我必须做些什么来确保其安全性?
我该如何防止其他用户通过我的 Firebase URL 访问我的实时数据库?为了只允许我的域名访问,我必须做些什么来确保其安全性?
首先要明白,根据来源域名无法保护互联网上的任何URL - 恶意用户可以轻易地撒谎。保护源域仅有助于防止跨站点欺骗攻击(其中恶意来源假装是您的站点,并欺骗您的用户代表他们登录)。
好消息是,用户从一开始就已经被阻止从未经授权的域进行身份验证。您可以在Forge中设置您的授权域:
现在,为了保护您的数据,您需要转到安全选项卡并添加安全规则。一个很好的起点如下:
{
"rules": {
// only authenticated users can read or write to my Firebase
".read": "auth !== null",
".write": "auth !== null"
}
}
设置安全规则,学习来源:https://firebase.google.com/docs/rules
使用仿真器(它将使密钥对初学者程序员不易可见),来源:https://firebase.google.com/docs/rules/emulator-setup
云函数(它将隐藏集合和文档的名称),https://firebase.google.com/docs/functions
将API密钥限制为特定网站/应用程序(它将使人们无法从外部访问您的网站/应用程序)
如果有人知道更多方法,请告诉我们,没有人能完美。