Firebase中实时数据库的安全规则

Question

我正在开发一个使用Firebase实时数据库的实时多人游戏，玩家的每一步都会更新到数据库中。此外，我使用的是来自第三方的身份验证，而不是Firebase Auth。因此，我应该将我的规则保留为：

{
 “rules”: {
 “.read”: true,
 “.write”: true
 }
}

这基本上没有任何安全性，但由于玩家的移动会实时更新，所以我认为他们应该被允许读写我的实时数据库，你有什么想法吗？我只想确定我的应用程序是否会有漏洞。谢谢!

Answer 1

1. 没有Firebase身份验证，您不能使用安全规则(除非您将它们存储在实时数据库或Firestore中，如@Doug所指出的。然而，你只能在实时数据库的安全规则中访问实时数据库的数据，Firestore也是如此)。

1. 从不使用这些规则，因为它们允许任何人读取或写入任何内容，对数据库执行操作，甚至在几秒钟内将其擦除。

如果您使用的是第三方身份验证，那么您到数据库的所有连接都应该通过一个安全的环境进行，例如服务器或云函数。在处理身份验证的同时，您必须使用websockets自己实现所有的实时功能。不要忘记将规则设置为false，以便关闭与数据库的直连。

通常，您将在不遵循任何安全规则的服务器上使用Firebase Admin SDK，因此您必须确保请求资源的用户有权获得该资源。