仅内部员工使用的App将Firebase Firestore与Storage安全规则设为全读写是否有风险？

你必须学习并配置Firebase安全规则，绝对不可以直接设置无安全限制、允许所有读写的规则，哪怕你的应用仅面向15名内部员工发放。

你在Flutter应用内实现的角色权限校验，仅在你自己的应用逻辑中生效，完全无法拦截直接对Firebase官方API发起的请求：

• 你的Firebase项目连接配置（即安卓的google-services.json、iOS的GoogleService-Info.plist文件内容）是明文打包在安装包内的，只要拆解APK/IPA文件就能完整获取，攻击者不需要安装你的Flutter应用，就能直接通过官方SDK或HTTP请求对接你的Firestore数据库，你前端写的所有权限逻辑都会完全失效
• 就算内部员工都不会拆解安装包，也存在安装包外泄、员工设备丢失、外部攻击者批量扫描到未受保护的Firebase实例的可能性，没有安全规则的数据库等于完全裸奔

• 数据泄露风险：所有存储的客户隐私数据、内部任务信息可以被任意人员无限制下载，若涉及个人信息泄露，还会面临监管合规处罚
• 数据损毁风险：攻击者可以无限制修改、删除全部Firestore数据，业务数据没有任何保护，一旦被恶意清空，恢复成本极高甚至无法恢复
• 资源滥用风险：攻击者可以批量写入垃圾数据，耗尽你的Firebase读写配额、存储容量，导致服务直接停转，还可能产生高额的超额账单
• 内部权限失控风险：内部员工也可以绕过Flutter应用逻辑，直接调用API越权查看敏感数据、修改无权限调整的内容，且所有操作没有有效溯源手段

你的内部使用场景的安全规则配置非常简单，花1~2小时就能完成适配，完全不需要掌握复杂的规则语法，以下是适配你场景的最简示例：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 基础限制：仅允许使用企业邮箱登录的员工访问
    allow read, write: if request.auth != null && request.auth.token.email.matches(".*@你的企业域名.com$");
    // 管理员权限：管理员角色可操作所有数据
    match /{document=**} {
      allow read, write: if request.auth.token.role == "admin";
    }
    // 普通员工权限：仅可操作分配给自己的任务
    match /tasks/{taskId} {
      allow read, write: if resource.data.owner_uid == request.auth.uid;
    }
    // 按你的业务需求补充其他集合的权限规则即可
  }
}

内容的提问来源于stack exchange，提问作者Njm Jeb