用户能否访问Firebase未授权数据？Firestore数据库是否会被黑客非法访问？

非法访问可能性说明 #

公网暴露的所有云数据库都存在被黑客尝试非法访问的可能，Firestore也不例外，常见风险触发场景如下：

• Firestore安全规则配置错误，比如使用默认的测试期全开放规则，或是权限范围设置过宽，未做身份校验就开放操作权限
• 服务账号密钥泄露，比如将密钥硬编码在前端代码、公开代码仓库中，被爬虫获取后即可拿到数据库的完全操作权限
• 未配置访问频次、操作范围限制，被黑客暴力枚举拖走全量数据

兼顾正常CRUD的安全配置方案 #

只要按照最小权限原则配置，完全可以在不影响你Python应用正常读写、修改、删除数据的前提下，规避绝大多数非法访问风险：

• 配置符合业务需求的最小权限安全规则，如果你的Python后端是通过服务账号访问Firestore，可以直接把规则设置为仅该服务账号可操作，示例规则如下：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if request.auth.token.email == "你的服务账号对应的邮箱地址";
    }
  }
}

如果你的应用有前端用户端，还可以进一步按用户UID细分权限，只允许用户操作自己名下的数据。

• 安全管理服务账号密钥：Python后端调用Firestore时，不要把密钥硬编码在业务代码里，通过环境变量、本地非公开配置文件读取密钥，配置文件不要提交到公开代码仓库。生产环境如果部署在GCP服务上，可以直接给实例绑定对应权限的服务账号，不需要手动维护密钥文件。
• 开启访问日志和异常告警：配置Firestore的访问日志上报，对短时间内高频访问、异常IP操作的行为设置告警，及时拦截攻击行为。
• 业务层做二次校验：Python后端处理数据操作请求时，先校验操作人的权限、参数合法性，不要完全依赖Firestore的安全规则做权限管控。

内容的提问来源于stack exchange，提问作者Karo