Firebase Realtime Database提示规则不安全，无法定位风险点求助

告警触发原因 #

Firebase官方的安全扫描规则默认会把全局根路径.read设为true的配置判定为潜在风险，不管你业务是否需要公开可读，只要匹配到这个配置就会推送告警，这是系统的通用检测逻辑，和你有没有配置CollectionThree无关。

现有配置的安全性评估 #

你当前的配置本身是符合你的业务预期的，没有直接的高危风险：

• 写入权限仅限定你个人的UID可操作，不存在数据被匿名用户篡改的风险
• 所有子集合（包括未显式声明的CollectionThree）都会继承根节点的读写规则，不需要额外配置，也不会额外引入风险
• 唯一需要确认的是：数据库内所有数据确实都是需要公开给任意用户读取的，不存在用户隐私、内部配置等敏感数据，如果满足这个条件，你完全可以忽略这条告警。

服务器代理读取的规则配置方案 #

如果你希望消除告警，改为仅允许你的Web服务器读取数据库，再由服务器返回内容给访客，可以按以下两种方案配置：

方案1：使用Admin SDK绕过规则（推荐） #

Firebase Admin SDK运行在可信服务器环境时，默认会忽略所有数据库规则，直接拥有全量读写权限，你只需要修改规则如下：

{
  "rules": {
    ".read": false,
    ".write":  "(auth != null) && (auth.uid ==   '123...myUID ...xyz')",
    "CollectionOne": {
      ".indexOn": ["name", "url"]
    },
    "CollectionTwo": {
      ".indexOn": ["name"]
    }
  }
}

修改后普通客户端直接访问数据库会被拒绝，仅你的服务器通过Admin SDK可以正常读取数据，既消除了告警，也不会影响业务。

方案2：显式给服务端账号授权 #

如果你不想用Admin SDK的规则绕过能力，可以给你的服务端分配一个单独的 Firebase 认证账号，在规则中仅开放该账号的读权限：

{
  "rules": {
    ".read": "(auth != null) && (auth.uid == '你的服务端账号UID')",
    ".write":  "(auth != null) && (auth.uid ==   '123...myUID ...xyz')",
    "CollectionOne": {
      ".indexOn": ["name", "url"]
    },
    "CollectionTwo": {
      ".indexOn": ["name"]
    }
  }
}

服务端请求数据库时先使用该账号完成认证，即可正常读取数据，普通匿名用户无法直接读取。

内容的提问来源于stack exchange，提问作者Michel