Firebase Hosting恶意流量防护及Analytics数据过滤问题（Cloud Armor相关）

1. 用Cloud Armor实现国家访问控制 #

可以通过Cloud Armor实现和CloudFlare类似的国家黑白名单拦截效果，具体操作逻辑如下：

• 先将你的自定义域名关联到Google Cloud负载均衡器（Firebase Hosting支持与GCP负载均衡集成）；
• 为负载均衡器创建Cloud Armor安全策略，添加地理位置访问控制规则：允许来自目标业务国家的IP访问，拒绝所有其他国家的请求；
• 配置完成后，访问自定义域名的流量会先经过Cloud Armor过滤，拦截非目标区域的请求，直接降低Firebase带宽消耗，同时避免无效流量进入Google Analytics。

2. Google Analytics过滤非目标国家记录 #

针对已进入Analytics的无效数据，可通过以下两种方式清理：

通用分析（UA）方案 #

• 在Analytics后台复制现有视图（避免修改原始数据），给新视图添加自定义排除过滤器：
  1. 过滤器类型选择“排除”；
  2. 过滤字段选择“国家/地区”；
  3. 过滤模式填写非目标国家的正则表达式（例如^(?!中国|美国)$，根据你的业务区域调整）。

GA4方案 #

• 进入管理员界面的「数据设置」→「数据过滤器」，创建排除过滤器：
  1. 选择“用户地理位置”作为过滤条件；
  2. 设置规则为“国家/地区不匹配”你的目标国家列表；
  3. 建议保留原始数据流，仅在复制的数据流上应用过滤器。

3. CloudFlare与Cloud Armor的选择 #

两者都能满足国家访问控制需求，核心差异在于：

• CloudFlare配置更轻量化，免费版就提供基础地理位置过滤，自带CDN加速，适合快速部署；
• Cloud Armor深度整合Google Cloud生态，规则粒度更灵活（可结合IP列表、请求参数等多维度过滤），如果你的业务已基于GCP构建，统一管理更便捷，但配置步骤相对繁琐。

4. 默认域名（web.app/firebaseapp.com）的防护限制 #

Firebase提供的web.app和firebaseapp.com默认域名，由于DNS解析权归Firebase所有，无法直接绑定CloudFlare或Cloud Armor。可通过以下替代方案防护：

• 域名重定向：在Firebase Hosting的firebase.json中配置重定向规则，将默认域名的所有请求转发到已配置防护的自定义域名，减少默认域名的直接访问；
• Firebase Bot Management：启用Firebase付费套餐中的Bot Management功能，自动识别并拦截恶意爬虫、自动化流量；
• 前端辅助过滤：在网站前端通过JavaScript获取用户地理位置，对非目标国家用户展示提示或跳转，但这种方式无法完全阻止带宽消耗（请求已到达服务器）。

内容的提问来源于stack exchange，提问作者gantonioid