Firebase Auth Blocking Functions：定价与安全问题咨询

1. DDoS攻击风险与防护 #

Auth Blocking Functions本质是Cloud Functions的一种，和普通云函数一样会面临DDoS攻击风险——比如攻击者发起大量恶意注册/登录请求，触发函数高频调用，耗尽资源后导致正常请求无法处理。

关于内置防护：依托Google Cloud基础设施，它自带基础DDoS防护（比如拦截SYN flood、UDP flood这类常见攻击），但针对大规模、针对性的DDoS攻击，基础防护力度可能不足。

保障安全与可用性的最佳实践：

• 速率限制：在函数内添加逻辑，记录请求来源IP或用户标识的请求频率，短时间内超过阈值直接拒绝。比如用Firestore存储IP的请求计数，设置1分钟内最多5次请求的规则。
• 请求合法性校验：严格验证Auth请求参数，比如校验邮箱格式、过滤含恶意字符或不符合业务逻辑的请求（如空邮箱、超长用户名）。
• 启用高级防护：配置Google Cloud Armor规则，针对Auth触发的函数端点，拦截常见攻击特征（如SQL注入、XSS尝试），或设置IP白名单/黑名单。
• 精简函数逻辑：尽量缩短函数执行时间，减少非必要的外部调用（如非必需的数据库查询），提升单函数处理效率，降低资源占用。
• 监控告警：通过Firebase控制台或Google Cloud Monitoring设置函数调用量、错误率、执行时间告警，出现异常波动及时响应。

2. 计费规则说明 #

Auth Blocking Functions的计费和普通Firebase云函数完全一致，按调用次数、执行时长、内存/CPU资源消耗计算费用，不属于Firebase Auth的常规计费范畴。

简单来说，Firebase Auth的费用针对用户管理、身份验证请求次数等服务，而Blocking Functions属于Cloud Functions的使用成本，两者分开计费。你可以享受Cloud Functions的免费额度（比如每月免费调用次数、执行时长），超出部分按Google Cloud Functions标准费率收费。

内容的提问来源于stack exchange，提问作者boorock