我正在使用 Go 中的“cloud.google.com/go/firestore”api 在本機模式下使用 Google Firestore 并在其中使用 CRUD 數據。只要您知道項目 ID 并在服務器上使用 Firestore API，對數據的訪問是完全開放的。在弄清楚如何保護數據免受服務器攻擊之前，我不想嘗試這些規則。同樣，所有 API 都需要訪問數據的項目 ID，所以我需要先鎖定它，然后再進一步移動。規則僅適用于我閱讀的移動/網絡客戶端，服務器端客戶端完全繞過規則。請幫忙。我不想使用 Firebase API，因為攻擊者仍然可以使用 Firestore api 來訪問數據。
2 回答
月關寶盒
TA貢獻1772條經驗 獲得超5個贊
從您問題中的有限信息中不清楚，但是您的 Firestore 數據庫不對任何具有項目 ID 的人開放。
只有擁有有效憑據的任何事物（人|機器）才能訪問該服務。擁有 Gmail 帳戶或服務帳戶密鑰持有者的人。
在任何一種情況下，只有您明確添加到項目中的身份才能訪問其資源，然后只有具有適當 IAM 角色|權限的身份才能訪問。
Google 提供了一種稱為應用程序默認憑據 (ADC)的優雅工具，可簡化客戶端身份驗證。
我懷疑您的代碼正在使用 ADC 對您的項目|服務進行身份驗證。
MMTTMM
TA貢獻1869條經驗 獲得超4個贊
只要您知道項目 ID 并在服務器上使用 Firestore API，對數據的訪問是完全開放的。
如果這是一個問題，請考慮禁止在 Firebase安全規則中對您的 Firestore 數據庫進行所有訪問。
還可以在這里查看我的回答，以了解為什么共享您的項目 ID 不是安全問題，如果您想允許從客戶端設備直接訪問實際上是必要的：向公眾公開 Firebase apiKey 是否安全？. 如果您不想允許直接客戶端訪問，關閉安全規則（默認情況下，除非您test mode在創建數據庫時選擇）是可行的方法。
- 2 回答
- 0 關注
- 137 瀏覽
添加回答
舉報
0/150
提交
取消