设置.read和.write均为false的Firebase安全规则是否安全？是否推荐？

先贴出你提到的规则配置：

{
  "rules": {
    ".read": false,
    ".write": false
  }
}

问题拆解解答 #

1. URL泄露后的读写权限 #

只要这个规则正常生效，任何人拿着数据库URL也没法通过Firebase常规API做读写操作——不管是匿名用户还是已登录用户，这条规则直接封死了所有层级的读写权限。所谓的黑客恶意攻击在这里也很难突破，因为Firebase的安全规则是服务器端强制执行的，所有客户端请求都得先过规则校验，绕不开这层关卡。

2. 配置的安全性 #

单从“防止未授权访问”的角度看，这个配置是绝对安全的。它相当于把数据库彻底锁死，没有任何外部入口能操作数据，完全杜绝了未授权读写的风险。

3. 是否推荐使用 #

除非你的数据库只是纯备份用、完全不需要任何外部（包括你自己的应用）读写操作，否则极度不推荐。因为这个规则会把所有合法的读写请求也一并拦截——你自己的前端应用、后端服务都碰不了数据库，等于让数据库失去了实际使用价值。

正常业务场景下，应该根据需求配置精细化规则：比如只允许已认证用户读写自己的数据，或者限定特定路径的读写权限，在安全和可用性之间找平衡。

内容的提问来源于stack exchange，提问作者user21550829