您如何使用安全规则来防止用户伪造 Firebase.ServerValue.TIMESTAMP？

Question

我的应用需要一个可靠的时间戳值来创建新记录。我正在使用 Firebase.ServerValue.TIMESTAMP 来确保这一点。这是我的代码：

var ref = new Firebase("https://test-firebase-please-ignore.firebaseio.com/foo");
ref.set(Firebase.ServerValue.TIMESTAMP);

或在 REST 中：

$ curl -X PUT -d '{"foo":{".sv":"timestamp"}}' \
  https://test-firebase-please-ignore.firebaseio.com/.json 

如何防止滥用的用户制作看似有效但实际上是过去或未来的虚假时间戳的请求？以下是他们可能使用的代码：

var ref = new Firebase("https://test-firebase-please-ignore.firebaseio.com/foo);
ref.set(1408643272324); //A timestamp in the past

Answer 1

您可以使用.validate 规则和now 内置变量强制执行此操作。

这是一个执行此操作的安全规则：

{
    "rules": {
        ".read": true,
        ".write": true,
        "foo" : {
          ".validate": "newData.val() == now"
          }
    }
}

您可以使用带有这些 cURL 命令的 REST API 来验证它。一、否定案例：

$ curl -X PUT -d '{"foo":"1408638610143"}' \
https://test-firebase-please-ignore.firebaseio.com/.json

{
  "error" : "Permission denied"
}

然后是一个正例：

$  curl -X PUT -d '{"foo":{".sv":"timestamp"}}' \
https://test-firebase-please-ignore.firebaseio.com/.json

{"foo":1408638609500}