使用 firebase auth 保护应用程序以阻止恶意使用客户端上的密钥答案

【问题标题】：Secure app using firebase auth to stop malicious use of the key which is on the client使用 firebase auth 保护应用程序以阻止恶意使用客户端上的密钥
【发布时间】：2021-12-04 23:43:29
【问题描述】：

我想知道如何确保 Firebase 身份验证。我计划使用 firebase JUST 进行用户身份验证（不使用 firestore 或实时数据库）。由于 API 密钥暴露在客户端，我担心恶意用户会找到密钥并开始不恰当地使用它。到目前为止，我已经做了以下尝试来提高安全性：

将密钥使用限制在特定域中
将密钥限制为只能使用“Identity Toolkit API”

我还有什么需要做的吗？

【问题讨论】：

“不当使用” 不当使用对您意味着什么？您要防范什么风险？我还建议在此处查看有关 API 密钥的 Firebase 文档：firebase.google.com/docs/projects/api-keys
@FrankvanPuffelen 使用不当，我的意思是完全使用它。我的应用程序应该是唯一能够使用我的凭据访问 Firebase API 的应用程序。我担心由于凭据在客户端上，有人可能会在请求中检查“网络”选项卡以获取它们、复制密钥、项目 ID 等，然后开始尝试对我的 Firebase 应用程序发出请求。这对我来说是一个新领域，因为这是一个客户端服务，我已经习惯了任何服务器端的身份验证。

标签： firebase authentication

【解决方案1】：

我的应用程序应该是唯一能够使用我的凭据访问 Firebase API 的应用程序。

对于您直接从客户端应用程序代码中访问基于云的 API 的任何应用程序，这将是一个神话。如今，您可以在 Firebase 中获得最接近的是 App Check，但目前无法用于身份验证调用。

造成这种情况的部分原因是身份验证 API 本身已经受到很好的保护，大多数滥用行为实际上不会对作为开发人员的您产生太大影响。例如。（忽略手机身份验证）创建帐户、登录和任何其他操作均不收取任何费用。

我强烈建议检查：

Is it safe to expose Firebase apiKey to the public?
Firebase 中有关 API keys 的文档。
Firebase security rules 上的文档，用于保护 Firestore 和实时数据库以及 Cloud Storage 中的文件。
Firebase 上的文档App Check，目前减少了对实时数据库、云存储、云函数和 Firestore 的滥用。
更多这些以前的问题在allowing only you app to access Firebase

【讨论】：

感谢您的帮助，我一定会检查出来的！