Firebase Android和iOS API密钥GitHub泄露，是否无安全风险？

一、关于“Firebase API密钥无关紧要”的说法 #

这个说法并不完全准确，需区分Firebase的不同密钥类型：

• 客户端SDK中使用的apiKey（存在于google-services.json或GoogleService-Info.plist中）确实属于非敏感信息。Firebase的设计逻辑允许该密钥暴露在客户端代码中，它的权限被严格限定，仅能调用指定的Firebase服务，且必须匹配应用的包名/签名、iOS Bundle ID才能生效，单独泄露此密钥不会直接引发严重安全问题。
• 但如果泄露的是Firebase服务账号私钥（service-account.json）、Admin SDK密钥这类敏感密钥，风险极高——攻击者可凭借这些密钥完全控制你的Firebase项目，包括读写数据库、篡改存储内容、发送恶意推送等。

二、若泄露敏感密钥的处理步骤 #

1. 立即撤销泄露的敏感密钥
   • 登录Firebase控制台，进入项目设置→服务账号页面，找到对应泄露密钥，点击删除或撤销。
   • 若是Admin SDK密钥，直接生成新密钥替换旧密钥。
2. 彻底清理GitHub仓库中的敏感信息
   • 删除仓库内包含敏感信息的文件（如google-services.json、service-account.json等），并彻底清除提交历史中的相关记录，可使用如下命令：

     git filter-branch --force --index-filter "git rm --cached --ignore-unmatch path/to/your/sensitive-file.json" --prune-empty --tag-name-filter cat -- --all
     

   • 执行完成后强制推送到远程仓库：git push origin --force --all
3. 更新项目密钥配置
   • 重新下载最新的google-services.json（Android）和GoogleService-Info.plist（iOS），替换项目内的旧文件。
   • 若使用了Admin SDK，将新生成的服务账号密钥替换到服务器或本地配置中。
4. 排查项目异常活动与权限
   • 查看Firebase控制台的活动日志，确认是否存在陌生IP访问、未授权数据修改等异常操作。
   • 检查项目权限设置，移除可疑授权账号，仅保留必要人员的访问权限。
5. 完善.gitignore规则
   • 在项目的.gitignore文件中添加敏感配置文件的忽略规则，示例如下：

     # Firebase敏感文件
     google-services.json
     GoogleService-Info.plist
     service-account.json
     

   避免后续再次误提交敏感信息。

内容的提问来源于stack exchange，提问作者Yazzine