当 dialogflow 与 3rd 方服务对话时，在 dialogflow 实现中使用 Firebase Admin sdk 是否安全？答案

【问题标题】：Is it safe to use Firebase Admin sdk in dialogflow fulfillment when dialogflow talking to 3rd party services?当 dialogflow 与 3rd 方服务对话时，在 dialogflow 实现中使用 Firebase Admin sdk 是否安全？
【发布时间】：2020-09-24 18:31:35
【问题描述】：

我正在使用 google dialogflow 制作一个 whatsapp 聊天机器人。我需要访问包含其他集合中敏感数据的 Firestore。 Admin sdk 通常用于云功能，但由于它可以轻松访问 firestore 中的任何集合，我想知道使用它是否安全，或者我应该选择其他选项，例如 firebase client sdk。

Dialogflow 链接到第三方服务 (QuickWork)，该服务将我的机器人链接到 Gupshup 以使用 whatsapp 业务 api。

【问题讨论】：

使用客户端SDK有什么危害？您可以随时根据需要设置安全规则。

标签： node.js firebase google-cloud-firestore google-cloud-functions dialogflow-es-fulfillment

【解决方案1】：

您应该在 Cloud Functions（被视为后端）中使用后端 SDK，例如 Firebase Admin SDK。 Web 客户端 SDK 并不是真正为后端设计的，与后端选项相比，使用它们并没有太大的优势。当您需要当前经过身份验证的用户根据安全规则进行受限访问时，可以在客户端应用程序中使用客户端 SDK。

关于 admin SDK 并没有什么真正“不安全”的地方。它仅与您编写的使用它的代码一样安全。

【讨论】：

“不安全”部分不是 SDK，而是您编写的任何代码都在特权环境（例如 Cloud Functions）中运行的事实。正如 Doug 所说，编写安全的代码，你会没事的 :)