多实例共享Firestore安全规则配置与匿名登录安全性咨询

现有方案的安全隐患 #

你当前基于signInAnonymously的方案完全无法满足安全要求，核心问题如下：

• 匿名认证本身是面向客户端公开的能力：你的Firebase项目配置本身就会暴露在前端静态资源中，任何人只要访问你的前端页面就能拿到完整的项目配置，可以直接在任意环境下调用signInAnonymously拿到合法的auth凭证，不需要伪造域名，也不需要破解前端代码，就能直接读写你整个Firestore数据库。因为你的规则是只要request.auth != null就放行全部权限，等于数据库完全对外公开。
• 即使你开启了域名校验，也无法100%阻止伪造请求：Firebase的域名限制属于App Check的能力范畴，只能防御基础的脚本攻击，无法阻止专业攻击者通过抓包、伪造请求头的方式绕过校验，本质上不能作为核心的安全防线。

该场景的最佳实践 #

你不需要用匿名认证来实现服务端的权限控制，Firebase本身已经提供了标准的分角色访问方案：

1. 服务端权限配置
   Node.js服务端直接使用Firebase Admin SDK初始化，初始化时使用你项目的服务账号密钥（仅保存在服务端，永远不要对外暴露），Admin SDK默认会绕过所有Firestore安全规则，天然拥有全库的读写权限，完全不需要走客户端的认证流程，这是官方推荐的服务端访问Firebase资源的标准方案。
2. 前端权限配置
   保留Firestore安全规则，但是要做两点优化：
   • 不要用通配符/{document=**}匹配全部文档，按业务路径精细配置权限，避免权限溢出
   • 校验用户的认证类型，只放行你使用的正式认证方式（比如邮箱密码、手机号、第三方OAuth登录等）的用户，也可以额外增加request.auth.token.email_verified == true这类校验，进一步提高安全性
3. 额外安全加固
   如果需要限制前端请求仅来自你指定的域名，可以开启Firebase App Check的web应用校验，规则中增加request.app.check == true的判断，可以拦截绝大多数来自非官方域名的请求。

内容的提问来源于stack exchange，提问作者AlTunegenie