授予开发者Firebase项目访问权限是否安全？删除成员后权限会失效吗？

注意：仅将开发者从Firebase项目成员列表中删除，无法保证完全终止对方的所有访问权限，你需要完成以下检查和操作，才能彻底回收所有权限：

• 基础权限回收验证
  删除项目成员操作本身会立即回收对方Google账号关联的项目级访问权限，对方将无法再通过Firebase控制台、gcloud CLI、firebase CLI等需要账号鉴权的渠道登录访问项目资源，这是权限回收的基础生效项。
• 清理服务账号密钥
  如果开发者在合作期间生成过任意服务账号的JSON密钥，这类密钥的权限独立于用户账号权限，即便你删除了对方的项目成员身份，对方持有密钥依然可以访问对应服务账号授权的所有资源。你需要进入「项目设置-服务账号」页面，遍历所有服务账号，删除所有对方可能持有的密钥，或直接轮换所有服务账号的密钥。
• 检查自定义权限规则
  如果你在Firestore、Cloud Storage、Realtime Database的安全规则中，写死过对方账号UID的放行规则，需要手动删除这类规则，避免对方依然可以通过客户端SDK直接访问项目数据。
• 排查额外授权配置
  检查项目是否存在以下额外授权，如有一并清理：
  • 对方关联的项目告警通知、webhook回调配置
  • 对方自行部署的未知Cloud Functions、Cloud Run、扩展程序等资源
  • 组织/文件夹级别的继承权限（如果你的项目归属Google Cloud组织，确认对方没有组织层面的访问权限）

完成上述所有操作后，即可完全终止对方对项目的所有访问权限，你可在上线前通过权限测试确认回收效果。

内容的提问来源于stack exchange，提问作者Tom