Google Cloud API密钥域名限制失效，Firebase数据库仍可跨域访问

核心原因：API密钥限制不直接作用于Firebase云数据库 #

Firebase的Realtime Database、Cloud Firestore这类数据库服务，不依赖API密钥做访问控制。你在Google Cloud设置的API密钥域名限制，仅对部分Firebase服务生效（比如Firebase Hosting、Cloud Functions的HTTP触发端点、Firebase Auth的部分接口），但数据库的访问权限完全由Firebase的安全规则管控，和API密钥无关。

为什么你的域名仍能访问？ #

API密钥的作用只是标识你的项目，而非验证请求来源。哪怕你把API密钥限制为仅允许www.aol.com，只要请求携带了正确的API密钥，同时符合Firebase安全规则的要求，就能正常访问数据库——这个域名限制规则根本管不到数据库的请求通道。

正确的数据库访问控制方式 #

要限制只有你的域名能访问数据库，必须配置Firebase安全规则：

• Firestore规则示例：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if request.origin == "https://your-domain.com";
    }
  }
}

• Realtime Database规则示例：

{
  "rules": {
    ".read": "request.origin === 'https://your-domain.com'",
    ".write": "request.origin === 'https://your-domain.com'"
  }
}

注意：request.origin仅能验证Web客户端的请求来源，对Postman、移动端等非Web客户端不生效；同时务必确保你的域名使用HTTPS，HTTP环境下request.origin的可靠性无法保证。

关于API密钥的补充说明 #

Firebase客户端配置里的API密钥是公开的，这属于正常情况，无需刻意隐藏。它仅用于关联你的项目，并非安全凭证，真正的安全防护要靠Firebase安全规则、身份验证（Auth）等机制实现。

内容的提问来源于stack exchange，提问作者Rodent