Firebase配置存储密钥类敏感信息是否安全？云函数方案选型

首先回答最关心的安全问题：正常使用前提下，通过firebase functions:config存储的敏感信息是安全的。
这类配置存储在Firebase服务端，只会在函数实例冷启动时注入到函数的服务端运行上下文，不会自动暴露给客户端、不会出现在函数的公开响应中。网上能搜到的Firebase Config泄漏案例，全都是开发者自己写了主动返回functions.config()内容的接口、或者把本地生成的.runtimeconfig.json文件提交到了公开代码仓库导致的，和服务本身的安全性无关。

但安全够用不代表是所有场景的最优解，和Google Secret Manager的选择逻辑完全看你的项目场景：

适合小团队/个人项目、非强合规场景使用

• 优势：
  • 原生打通Firebase工作流：用firebase functions:config:set key.value="xxx"一行命令就能写配置，代码里直接调用functions.config().key.value就能读，不需要额外装SDK、不需要单独配置权限
  • 本地调试成本极低：执行firebase functions:config:get > .runtimeconfig.json就能把线上配置拉到本地，本地运行函数时读取逻辑和线上完全一致，不需要额外做环境适配
  • 没有额外服务成本，不会产生额外调用费用
• 短板：
  • 权限粒度极粗：只要拥有项目Functions部署权限的协作者，都能通过CLI拉取全量配置内容，没法单独限制某个人只能访问某几个配置项
  • 缺少企业级安全能力：没有配置版本历史、密钥自动轮转、访问审计日志，密钥被访问、修改都没有追溯记录
  • 配置更新后必须重新全量部署函数才能生效，不支持运行时动态拉取新配置

适合企业级项目、核心敏感密钥存储、强合规场景使用

• 优势：
  • 权限管控精细：可以给每个密钥单独配置IAM权限，就算是有部署权限的协作者、甚至同一个项目下的其他函数，没拿到对应授权就没法读取指定密钥，最小权限原则落地很方便
  • 合规能力完备：自带传输/静态加密、密钥版本管理、自动轮转、全操作审计日志，能满足PCI DSS、等保这类合规要求，存支付密钥、核心数据加密根密钥这类高敏感内容更稳妥
  • 支持动态读取：不需要重新部署函数，就能在运行时拉取最新版本的密钥，做密钥轮换的时候业务无中断
  • 支持跨GCP服务复用：如果你的业务除了Cloud Functions还用到Cloud Run、GKE、Compute Engine等其他GCP服务，同一套密钥可以统一在Secret Manager管理，不需要多份维护
• 短板：
  • 初始配置更繁琐：需要先开通Secret Manager服务，给函数运行用的服务账号、本地开发账号单独分配对应密钥的访问权限，代码里需要引入Secret Manager SDK做读取
  • 本地调试步骤更多，没法像Firebase Config那样一行命令拉取全量配置
  • 密钥读取有极少量的调用费用，不过一般都是在函数冷启动时读一次缓存到内存里，实际产生的成本几乎可以忽略

个人开发、小团队内部项目，存储普通第三方API密钥、功能开关、非支付类集成参数，直接用Firebase Config就够，安全达标且开发效率最高。
企业级项目、存储支付密钥/用户敏感数据加密密钥、有合规审计要求，直接选Google Secret Manager，安全管控能力更完善。

内容的提问来源于stack exchange，提问作者sirss