为什么 Firebase 数据库安全规则不适用于经过身份验证的 REST API？

Question

我正在使用 Firebase 数据库，并为测试设置了一条安全规则

".write":false

读取总是正确的。

现在，当我在 android 应用程序中使用客户端 SDK 编写任何内容时，数据库中的任何地方都按预期拒绝写入。

但是，当我使用经过身份验证的 REST API 补丁请求在任何地方写入任何内容时，它总是会成功。

令牌生成如下：

       //googleCredAhmedabad and scopedAhmedabad are GoogleCredential objects

       InputStream is = getServletContext().getResourceAsStream("/WEB-INF/firebaseauth/myserviceaccountfile.json");

        googleCredAhmedabad = GoogleCredential.fromStream(is);

        scopedAhmedabad = googleCredAhmedabad.createScoped(
                Arrays.asList(
                        "https://www.googleapis.com/auth/firebase.database",
                        "https://www.googleapis.com/auth/userinfo.email"
                        )
                );

        scopedAhmedabad.refreshToken();

        String myToken = scopedAhmedabad.getAccessToken();

是否（使用服务帐户生成具有足够范围的凭据）经过身份验证的 REST API 调用胜过安全规则？

Answer 1

Firebase Documentation上有提到：

auth 请求参数允许访问受 Firebase 保护的数据 实时数据库规则，所有请求类型都支持。这 参数可以是我们的 Firebase 应用程序机密或身份验证 令牌，我们将在用户授权部分介绍。

我看到您提到您正在使用经过身份验证的 REST API，所以我假设您确实设置了 auth 参数。这意味着您是对的：安全规则不适用于经过身份验证的 REST API。