Cloud Storage公共访问防护失效排查及安全下载方案咨询

1. 黑客能否获取Firestore中的downloadURL？ #

• 如果Firestore规则未限制该downloadURL所在文档的访问权限，黑客有可能通过多种途径获取：
  • 若应用直接将包含URL的Firestore文档暴露给未授权用户，黑客可模拟请求抓取数据；
  • 逆向Flutter应用安装包，找到读取Firestore数据的逻辑，进而提取URL。
• 只有为Firestore配置严格的安全规则，确保仅授权用户能访问包含URL的文档，才能有效降低这种风险。

2. 安全下载歌曲的方案 #

方案一：使用临时签名URL替代永久downloadURL #

不要在Firestore中存储永久有效downloadURL，而是在用户需要下载时，通过后端（或Firebase Cloud Functions）生成临时签名URL，该URL仅在指定有效期内可用：

• Flutter端调用Cloud Functions，传入用户身份验证信息与文件路径；
• Cloud Functions验证用户权限后，用Google Cloud Storage SDK生成临时URL返回给客户端；
• 客户端使用该临时URL完成下载。

方案二：通过Firebase Storage SDK直接流式传输 #

无需生成公开URL，直接在Flutter应用内通过SDK下载文件，所有请求走SDK身份验证流程，符合你设置的Security Rule：

// Flutter示例代码：直接下载文件到本地
final storageRef = FirebaseStorage.instance.ref('music/Epic/03. Ancestors.output.mp3');
final file = File('/path/to/local/file.mp3');
await storageRef.writeToFile(file);

3. Firebase App Check的作用及其他防护措施 #

App Check能否阻止公共访问？ #

Firebase App Check可辅助拦截未授权访问，但不能完全替代安全规则：

• 它能验证请求是否来自合法的Flutter应用，防止恶意脚本或未授权客户端直接调用Firebase服务；
• 但如果应用本身存在逻辑漏洞（比如未限制Firestore文档访问），黑客仍可能通过合法应用身份获取URL。

其他阻止公共访问的措施 #

• 严格配置Firestore安全规则：确保仅持有特定自定义token的授权用户，才能读取包含文件路径/URL的文档；
• 启用Cloud Storage对象级权限：结合Uniform权限控制，进一步缩小文件的可访问主体范围；
• 加密存储文件：即使URL泄露，没有解密密钥也无法播放音频内容；
• 定期轮换自定义token：降低token泄露后的影响范围。

4. 如何获取Authenticated URL #

你提到的Authenticated URL即Google Cloud Storage的临时签名URL，推荐通过Firebase Cloud Functions生成：

const { Storage } = require('@google-cloud/storage');
const storage = new Storage();

exports.getAuthenticatedUrl = functions.https.onCall(async (data, context) => {
  // 验证用户身份与权限（比如检查自定义token）
  if (!context.auth || !context.auth.token.customClaim) {
    throw new functions.https.HttpsError('permission-denied', 'Unauthorized');
  }

  const filePath = data.filePath;
  const bucket = storage.bucket('felix-had.appspot.com');
  const file = bucket.file(filePath);

  // 生成有效期1小时的签名URL
  const [url] = await file.getSignedUrl({
    action: 'read',
    expires: Date.now() + 3600 * 1000, // 1小时后过期
  });

  return { url };
});

在Flutter端调用该云函数即可获取临时访问链接，确保仅授权用户能拿到有效URL。

内容的提问来源于stack exchange，提问作者Wege