React Native Expo / Firebase 安全防护咨询：如何保障API密钥与Firebase配置安全、优化Firestore规则及其他安全措施

阿华AIGC实验室

2026-4-29

React Native Expo + Firebase 应用安全全攻略

兄弟，你的这个场景我太熟了，赶紧把这些安全措施落实，不然很容易踩坑：

一、Firebase 配置与API密钥的正确处理

首先别慌，Firebase Web SDK里的apiKey这类配置其实本来就是可以公开的——Firebase的安全体系不是靠隐藏这些前端配置来保障的，而是靠后端规则和认证机制。但你要记住：绝对不能把Firebase Admin SDK的服务账号密钥（就是那个json文件）放到前端代码里，这玩意儿是后端专用的，泄露了等于给别人开了后门。

在Expo项目里，你可以这么管理配置：

建个.env文件，把需要的Firebase配置项填进去（比如FIREBASE_API_KEY=xxx），然后一定要把.env加到.gitignore里，绝对不能提交到Git仓库。
用expo-constants来读取这些环境变量：在app.config.js里通过process.env获取，把配置放到extra字段里，之后在APP里用Constants.expoConfig.extra来调用，这样就不用把配置硬编码在代码里了。

二、Firestore 规则必须立刻改！

你现在的allow read, write: if true;规则等于把数据库完全对外开放，任何人只要拿到你的Firebase配置，就能随便读写甚至清空你的数据，风险极大！

结合你用了匿名认证，先把最基础的规则改了：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if request.auth != null;
    }
  }
}

这个规则确保只有已经认证的用户（包括匿名用户）才能访问数据库。如果需要更精细的控制（比如匿名用户只能操作自己的数据），可以给每个用户的文档加个userId字段，然后把规则改成：

match /users/{userId} {
  allow read, write: if request.auth.uid == userId;
}

改完之后一定要用Firebase控制台的规则模拟器测试下，确保权限符合你的预期。

三、匿名用户认证的额外防护

启用匿名认证是个不错的选择，但还得补这些措施：

收紧权限：别给匿名用户太高的权限，比如只能读写自己的专属文档，不能碰其他用户的数据；对于一些全局配置类的集合，直接禁止匿名用户访问。
支持账号升级：匿名用户卸载APP或者清缓存后会丢失身份，你可以做个“绑定邮箱/手机号”的功能，让用户把匿名账号升级成永久账号，这样数据不会丢，也能提升用户留存。
开启Firebase App Check：这玩意儿能帮你挡住大部分恶意请求，验证请求是否来自你的合法APP。在Expo里可以集成ReCaptcha或者平台原生的验证（iOS用DeviceCheck，Android用SafetyNet），防止爬虫或者伪造的请求攻击你的数据库。
监控异常行为：用Firebase Analytics或者Cloud Monitoring盯着用户的请求量，如果某个匿名用户短时间内疯狂读写数据，大概率是恶意行为，赶紧调整规则或者限制该用户的权限。