Flutter应用遭逆向后发起无限Firebase读请求的风险与可行性咨询

1. 伪造登录状态发起无限读请求是否可能？ #

是的，这种情况完全有可能。你配置的安全规则校验登录是基于客户端发送的身份令牌，但Firebase的身份验证逻辑依赖客户端传递的凭证，黑客通过逆向APK可以：

• 提取你的Firebase项目配置信息（API_KEY、项目ID等）；
• 分析代码找到登录状态校验的逻辑节点，直接篡改客户端的登录状态标识，让客户端向Firebase发送请求时伪装成已登录状态；
• 若能获取到有效身份令牌（比如通过破解弱密码、利用匿名登录漏洞，或生成符合Firebase验证规则的合法JWT），就能发起真实的读请求，甚至编写脚本构造无限循环请求，消耗你的数据库资源导致账单激增。

2. 黑客能否编译修改后的APK并正常使用？ #

可以，但取决于你的应用加固程度：

• 如果打包时未开启代码混淆，黑客能轻松反编译出可读的Dart代码，修改逻辑后重新打包签名；
• 即使开启了Flutter的--obfuscate混淆，也只是提升逆向难度，无法完全阻止——黑客可通过修改Android字节码（Smali）篡改核心逻辑，比如跳过登录校验、修改请求参数；
• 重新打包的APK只要用黑客自己的签名证书签名，用户开启“允许未知来源应用”后就能安装运行，正常向你的Firebase服务发送请求。

防御建议 #

• 设置用量告警与限制：在Firebase控制台给数据库读/写请求设置阈值，达到阈值时触发告警，必要时暂停服务，避免超额账单；
• 强化身份验证规则：安全规则里不仅校验登录状态，还要验证令牌的签发者、过期时间，结合自定义声明（Custom Claims）限制单用户的请求频率；
• 代码混淆与应用加固：Flutter打包时添加--obfuscate --split-debug-info=./debug-info参数做代码混淆，同时用Android加固工具（如腾讯乐固、360加固保）提升逆向门槛；
• 监控异常请求：定期查看Firebase日志，识别短时间内请求量异常的用户ID或IP，及时封禁可疑账号；
• 启用Firebase App Check：通过App Check验证请求是否来自你的合法应用，直接拦截篡改APK或第三方脚本发起的请求。

内容的提问来源于stack exchange，提问作者HaniMontana