Firebase API-ключ ограничения позволяют расширение Chrome

Question

Я разработал веб-сайт, который использует аутентификацию Firebase и базу данных в реальном времени.Я ограничил доступ к API-ключу Firebase только к моему серверу (ссылки HTTP - 'https://projectname.firebaseapp.com/'). Но теперь я также хочу разрешить моему расширению chrome доступ к нему.

Answer 1

Bad Спойлер: плохие новости: заголовок Access-Control-Allow-Origin не может помочь в качестве меры безопасности с расширениями Chrome.

? Что вы можете сделать, это создать собственную систему аутентификации ( JWT или все, что вы можете сохранить, например, с api для хранения).В противном случае вы можете отправить код ошибки (неавторизованный или недоступный).Это может произойти полностью в фоновом режиме.Вы можете настроить это рукопожатие и сохранить ключ.Вам просто нужно убедиться, что этот тип аутентификации требует, чтобы он исходил из браузера, и иметь возможность проверить подпись, чтобы убедиться, что ваш токен не используется где-либо еще (например, с curl или другим сервером). JWT может быть лучшим решением здесь imho.

GLHF!?

Answer 2

Нашел решение -

Добавление этого к HTTP-реферерам сработало - 'chrome-extension: //yourextensionid/'.

Приветствуется любое лучшее или более безопасное решение!