Firebase Realtime Database物联网设备接入安全权限设计咨询

现有两种方案的考量遗漏点 #

你对两种方案的基础判断是对的，但有几个细节你没考虑到：

• 共用服务账号的风险远不止你想的这些：一旦密钥泄露，攻击者可以直接篡改、删除全库所有设备的采集数据，甚至伪造虚假设备数据上报，而且完全没办法溯源问题来自哪台设备，出了安全事件根本没法定位
• 单设备独立Auth账号的两个顾虑其实在绝大多数场景下不成立：
  • Firebase Auth的用户量阈值极高，免费层就支持100万月活跃用户，付费后几乎没有上限，绝大多数消费级、工业级IoT项目的设备规模根本碰不到这个阈值
  • 设备侧的逻辑复杂度完全可以控制，不需要让设备走普通用户的注册、验证码流程，完全可以在产线烧录阶段就把设备唯一ID和对应鉴权凭证预写入，设备上电直接用预存凭证鉴权，新增的代码量不超过20行

推荐落地方案 #

我们之前做过类似的ESP32+Firebase的农业环境采集项目，用的是「自定义令牌+单设备独立身份」的方案，落地成本很低，安全能力也够用：

• 不需要给IoT设备开放Auth注册权限，所有设备的身份由你的后端统一生成，产线烧录时把设备UID、长期访问令牌（或者可定期刷新的短令牌）写到ESP32的非易失性存储里
• Realtime Database的安全规则按设备UID做最小权限隔离，参考规则如下：

{
  "rules": {
    "device_data": {
      "$device_id": {
        // 只有设备本身能上报数据，且只能新增子节点，不能修改/删除历史数据
        ".write": "auth.uid == $device_id && newData.exists() && !data.exists()",
        // 只有绑定了该设备的用户才能查看数据
        ".read": "auth.uid == root.child('user_device_bind').child($device_id).val()"
      }
    },
    "device_config": {
      "$device_id": {
        // 设备只能读自己的配置，用户可以更新绑定设备的配置
        ".read": "auth.uid == $device_id || auth.uid == root.child('user_device_bind').child($device_id).val()",
        ".write": "auth.uid == root.child('user_device_bind').child($device_id).val()"
      }
    }
  }
}

• 用户绑定逻辑靠中间映射表实现：Flutter端用户输入设备序列号完成绑定时，只需要在user_device_bind节点写入「设备ID-用户UID」的对应关系即可，不需要修改任何设备侧逻辑

可选低成本替代方案 #

如果你的设备规模确实特别大，不想占用Auth的用户额度，可以用自定义声明的方式：不需要把设备注册成Auth的正式用户，只需要用服务账号给设备签发带device_id自定义声明的JWT令牌，安全规则可以直接读取令牌里的声明做鉴权，效果和独立用户账号完全一致，还能减少Auth的用户计数。

内容的提问来源于stack exchange，提问作者Alex