Firestore 规则 - 用户可以在应用范围之外编写吗？

Question

我开始查看 Firestore 的数据库规则，我想知道：用户可以使用“被黑”的应用程序执行不需要的请求吗？我的意思是，在我的应用程序上，用户的范围相当有限，因此他不能对数据库造成损害，但是对于同一个应用程序“被黑”，是否可以使用用户令牌来执行不需要的请求？

我的问题可能不清楚，但简单来说：我的应用程序的用户可以执行我没有写入代码的请求吗？

谢谢

Answer 1

我的应用程序的用户能否执行我没有写入我的应用程序的请求？ 代码？

答案是是的。

任何可以获取您的 Firebase 配置元素的人都可以使用 JavaScript SDK 编写一个简单的 HTML 页面并尝试与您的 Firestore 后端进行交互。请注意，获取 Firebase 配置元素并不难，请参阅this answer。

或者，更简单，用户只需使用Firestore REST API。

---

因此，结论是您确实需要使用适当的安全规则来保护您的数据。