Ограничить доступ для записи в Firestore и Realtime Database

Question

Я хочу ограничить разрешения на запись как в Firestore, так и в базе данных реального времени, чтобы только бэкэнд приложения мог изменять его.

Какие правила я могу применять? Похоже, что секреты базы данных сейчас небезопасны.

Answer 1

Это немного зависит от того, как ваш бэкэнд-процесс обращается к базам данных.

Если они сделают это через Firebase Admin SDK, они получат доступ к базе данных с правами администратора и, таким образом, обойдут все правила безопасности.Это означает, что вы можете просто полностью заблокировать запись в базу данных для всех постоянных клиентов.

В базе данных реального времени это можно выполнить с помощью следующих правил:

{
  "rules": {
    ".write": false
  }
}

В Cloud Firestore высделать то же самое с:

service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow write: if false;
    }
  }
}

В обоих случаях я игнорирую разрешения на чтение, чтобы все было просто.Вышеприведенные фрагменты довольно прямо взяты из документации Firebase, поэтому я рекомендую прочитать там о База данных реального времени и Firestore .