如何确保仅自有PHP API可写入Firebase实时数据库REST API？

场景回顾 #

• 实时数据库结构：

{
  "Notifications": {
    "348199": 1, // 值随变更递增
    "737119": 1,
    "899173": 1
  }
}

• Android客户端仅监听指定用户ID节点的变化，不执行写入操作
• PHP后端在MySQL添加通知成功后，更新对应用户的实时数据库节点值
• 写入目标节点URL：https://IHideIt-default-rtdb.firebaseio.com/Notifications.json

需求：拒绝浏览器、Postman、Android应用等非自有API的写入请求，仅允许自有PHP API操作数据库写入。

具体实现方案 #

1. 配置Firebase实时数据库安全规则 #

通过安全规则严格限制写入权限，仅允许带管理员标识的请求写入，同时保障客户端的合法读取权限。

将数据库安全规则更新为：

{
  "rules": {
    "Notifications": {
      "$uid": {
        // 仅允许登录用户读取自己的通知节点
        ".read": "auth != null && auth.uid == $uid",
        // 仅允许管理员权限的请求写入
        ".write": "auth != null && auth.token.admin === true"
      }
    }
  }
}

规则说明：

• .read确保Android客户端只能监听自身用户ID对应的节点，符合业务需求
• .write直接拦截所有非管理员权限的写入请求，普通客户端（包括Android、Postman）无法通过校验

2. PHP后端使用Firebase管理员SDK执行写入 #

放弃直接通过HTTP Patch请求调用数据库URL的方式，改用Firebase管理员SDK完成写入操作——SDK会自动携带管理员认证信息，天然满足安全规则的写入要求。

操作步骤：

1. 在Firebase控制台下载服务端密钥文件（JSON格式），仅存放在PHP后端的安全目录中
2. 安装Firebase PHP管理员SDK：

composer require kreait/firebase-php

3. 初始化SDK并执行自增写入：

use Kreait\Firebase\Factory;
use Kreait\Firebase\ServiceAccount;

// 加载服务端密钥
$serviceAccount = ServiceAccount::fromJsonFile(__DIR__.'/path/to/your-service-account.json');

// 初始化Firebase实例
$firebase = (new Factory)
    ->withServiceAccount($serviceAccount)
    ->create();

$database = $firebase->getDatabase();

// 对指定用户的通知计数执行自增操作
$targetUid = '348199';
$ref = $database->getReference("Notifications/{$targetUid}");
$ref->transaction(function($currentValue) {
    return $currentValue + 1;
});

3. 辅助加固：限制API密钥使用场景（可选） #

在Firebase控制台的项目设置 > API密钥中，针对项目API密钥添加使用限制：

• 仅允许指定的服务器IP地址调用实时数据库API
• 禁用该密钥的实时数据库写入权限
  这一步是额外的安全加固，核心防护仍依赖安全规则+管理员SDK的组合。

核心注意事项 #

• 服务端密钥绝对不能泄露到客户端（Android、浏览器），仅在PHP后端的安全环境中使用
• Android客户端仅使用普通用户认证（如Firebase Auth），不赋予任何管理员权限
• 定期轮换服务端密钥，降低密钥泄露后的风险

内容的提问来源于stack exchange，提问作者Taha Sami