GitHub公开项目中Firebase配置泄露后的账户安全防护方案咨询

别慌，这种不小心把敏感配置推去公开仓库的情况我也遇到过，咱们先处理最紧急的事项，再把后续的防护措施落实好：

• 重置Firebase Web API密钥
  登录Firebase控制台，进入你的项目 → 点击左上角齿轮图标进入「项目设置」→ 切换到「一般」标签页，找到「Web API密钥」这一项，点击旁边的「重置」按钮。这样旧的API密钥就会立即失效，就算有人从你的Git历史里拿到也用不了。
• 立刻强化Firebase安全规则
  这才是保护后端的核心——毕竟Firebase的Web客户端配置（除了API密钥）本来就是可以通过浏览器开发者工具看到的，真正的安全屏障是你的规则设置。
  比如针对实时数据库，进入「实时数据库」→「规则」，把默认的开放规则改成仅认证用户可访问：

  {
    "rules": {
      ".read": "auth != null",
      ".write": "auth != null"
    }
  }
  

  Cloud Firestore、云存储的规则也要做类似调整，根据你的业务需求设置更精细的权限，比如只允许特定用户组读写特定数据。

现在你的远程仓库历史里还留着包含配置的记录，必须彻底移除，不然别人还是能通过Git日志找到：

1. 用官方推荐的git filter-repo工具（别用老旧的git filter-branch，容易出问题），假设你的配置在src/firebase-config.js文件里，运行以下命令：

   git filter-repo --path src/firebase-config.js --invert-paths
   

   如果只是文件里的某段代码，也可以用内容替换的方式，但移除整个包含敏感信息的文件更彻底。
2. 强制推送到远程仓库：

   git push --force origin main
   

   注意：强制推送会覆盖远程仓库的历史，如果有协作者的话，一定要提前通知他们，让他们重新拉取最新代码，避免冲突。

• 把配置移到环境变量
  不要再把Firebase配置硬编码到代码里，用.env文件存储这些敏感值：

  REACT_APP_FIREBASE_API_KEY=你的新API密钥
  REACT_APP_FIREBASE_AUTH_DOMAIN=你的项目ID.firebaseapp.com
  # 其他配置项同理，前缀根据你的框架调整，比如Vue用VUE_APP_
  

  然后把.env添加到.gitignore里，代码里通过process.env.REACT_APP_FIREBASE_API_KEY来读取这些值。
• 启用Firebase的安全增强功能
  • 开启App Check：验证所有请求是否来自你的合法应用，防止恶意脚本调用你的Firebase服务。
  • 开启审计日志：对Cloud Firestore、实时数据库的访问做日志记录，方便你监控异常操作。
  • 设置预算警报：在Firebase控制台的「计费」页面设置预算阈值，一旦接近或超过就会收到通知，避免恶意使用导致超额收费。
• 定期扫描敏感信息
  可以用git-secrets这类工具扫描本地仓库，或者开启GitHub的秘密扫描功能（公开仓库会自动扫描常见密钥并提醒你），提前发现潜在的敏感内容泄露。

另外要提醒你：Firebase的Web客户端配置本身在设计上就是允许公开的（毕竟前端部署后用户本来就能看到），所以核心的安全保障从来不是隐藏这些配置，而是依赖严格的安全规则和身份验证机制。这次的问题主要是旧配置留在了Git历史里，所以重置密钥+清理历史+强化规则就足够解决风险了。

内容的提问来源于stack exchange，提问作者MasterWilliams