Firebase 安全规则混乱

Question

我有一个使用 pdf 文件和视频文件的颤振应用程序。我已将这些文件放在 firebase 存储中，并将这些文件的 url 放在数据库集合中，以便在我的应用程序中使用它们。 我不想在我的应用程序上进行任何电子邮件和密码身份验证。我的 pdf 和视频文件安全吗？ 任何人都可以访问或获取它们吗？ 这是我的数据库规则：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write;
    }
  }
}

这是我的 Firebase 存储规则：

service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write;
    }
  }
}

Answer 1

您的规则允许任何人读取、修改或删除您的文件，因此，您的文件根本不安全。 如果您希望您的文件安全，您必须考虑实施某种身份验证并设置适当的规则，以便只有您或某些用户组能够访问您的文件。

你可以在Firebase documentation阅读更多关于设置规则的内容。

Answer 2

如果您不想要求用户输入凭据，但仍需要一点安全性，请考虑使用 Firebase 的 anonymous authentication 提供程序。来自文档：

您可以使用 Firebase 身份验证来创建和使用临时匿名帐户来通过 Firebase 进行身份验证。这些临时匿名帐户可用于允许尚未注册您的应用的用户使用受安全规则保护的数据。如果匿名用户决定注册您的应用，您可以link their sign-in credentials to the anonymous account，以便他们可以在以后的会话中继续使用其受保护的数据。

---

当然，如果您不想将您的文件或数据与特定用户相关联，那么匿名身份验证也毫无意义。但此时您确实希望允许纯粹的未经身份验证的公共访问。这也可能是一个不错的选择，只要您意识到您的项目将对任何用户的任何读取/写入收费。

---

如果您希望任何用户在不识别他们或提供凭据的情况下能够读取数据/文件，但不写入他们自己的任何数据/文件，您正在寻找只读规则：

allow read; if true;
allow write: if false;

或者更短，但阅读起来不太明确：

allow read