Firestore防重放攻击方法及前端直连安全与恶意读写防御咨询

一、重放攻击的防护手段 #

Firestore结合Firebase Auth的基础机制可抵御大部分重放攻击，配合安全规则的额外校验能进一步加固：

• 短期身份令牌：Firebase Auth发放的ID令牌有效期仅1小时，过期后无法复用，从根源上压缩了旧请求的重放窗口。
• 时间戳校验：在安全规则中加入请求时间与服务器时间的差值校验，拒绝时间差过大的请求，防止攻击者留存旧请求很久后重放。示例规则：

  match /databases/{database}/documents {
    match /{document=**} {
      allow write: if request.auth != null 
        && request.time - request.resource.data.created_at < duration.value(5, "m");
    }
  }
  

• 唯一随机值（Nonce）校验：针对敏感写入操作（如交易、权限变更），要求客户端提交唯一随机nonce，在安全规则或云函数中校验该nonce未被使用过（可将已用nonce存于专用集合，校验后标记为已用），确保每个请求仅能执行一次。

二、前端直接查询Firestore的安全性 #

如果安全规则配置严格且完备，前端直接查询在权限控制层面是安全的——安全规则会拦截所有用户无权限的操作，确保用户仅能访问/修改自己有权限的数据。但要明确：安全规则无法阻止用户发起大量合法请求，这类行为会直接导致读写量飙升，产生高额账单。

三、防御大量合法请求导致的滥用/账单问题 #

针对这类“合法但恶意”的请求，需从配额、速率限制、缓存等多维度入手：

• 配置配额与告警：在GCP控制台为Firestore设置每日读写配额、每秒请求数阈值，触发限制后Firestore会自动拒绝超额请求；同时配置Cloud Monitoring告警，当请求量接近阈值时及时通知管理员。
• 用户级速率限制：
  • 安全规则结合用户文档实现基础控制：在用户专属文档中记录请求次数与最近请求时间，安全规则校验单位时间内请求数不超过阈值（注意：此方式会增加额外读操作，高并发场景建议结合云函数+Redis实现更高效控制）。示例规则：

    match /databases/{database}/documents {
      match /posts/{postId} {
        allow read: if request.auth != null 
          && let userRef = /databases/$(database)/documents/users/$(request.auth.uid);
          && get(userRef).data.last_read_time > request.time - duration.value(1, "m")
          && get(userRef).data.read_count < 100;
      }
    }
    

  • 云函数拦截请求：将读写请求通过云函数转发，在云函数中用Redis或Firebase实时数据库维护用户请求计数器，超过阈值则拒绝请求。
• 前端缓存优化：启用Firestore本地缓存（默认开启），同时在前端实现业务逻辑层面的缓存，避免同一用户短时间内重复发起相同查询，减少不必要的请求量。
• 限制批量操作规模：在安全规则中限制单次查询的返回文档数量，或单次写入的文档数量，防止用户通过批量操作瞬间消耗大量配额。示例规则：

  allow read: if request.query.limit() <= 50;
  allow write: if request.resource.data.keys().size() <= 10;
  

• 成本预算与自动控制：在GCP控制台设置Firestore的成本预算，当消费达到预算阈值的一定比例（如80%）时触发告警，甚至可配置自动停止服务（需谨慎操作），避免超出预期的高额账单。
• 异常流量检测与人工干预：通过Cloud Monitoring监控用户请求行为，当某用户请求量远超正常水平时，手动暂停该用户的Firestore操作权限，排查是否为恶意滥用。

内容的提问来源于stack exchange，提问作者Alex Lomia