如何将GCP KMS与Firebase及Firebase Cloud Functions结合实现安全加密

问题2：如何在Firebase和Firebase Cloud Functions中集成KMS？ #

按以下步骤操作即可：

1. 在GCP控制台开启Cloud KMS API，创建专属的密钥环和对称加密密钥
2. 找到Firebase Cloud Function默认使用的服务账号（格式为{你的项目ID}@appspot.gserviceaccount.com），给该账号授予KMS密钥的CryptoKey Encrypter/Decrypter权限
3. 云函数内调用KMS SDK完成加解密逻辑，同时配合Firebase安全规则，限制用户仅能访问自己名下的密文数据，避免越权访问。

问题3：云函数实现中是否推荐使用@google-cloud/kms包？ #

完全推荐，该包是GCP官方维护的Node.js SDK，和云函数运行环境原生兼容，不需要额外配置访问凭证（云函数默认会使用绑定的服务账号权限），功能覆盖KMS所有能力，稳定性和安全性都远高于第三方实现。

问题4：除了提到的问题外，还有其他安全缺陷吗？ #

你当前的方案还有几个明显的安全隐患：

• 密钥和密文共同存储在Firestore中，完全违反了密钥与密文分离存储的安全原则，只要能访问Firestore的身份都可以直接拿到密钥解密所有数据
• 第三方账户登录凭证属于极高敏感数据，你没有提到对这部分数据的特殊加密处理，也没有说明是否会在云函数日志中打印敏感数据，一旦日志泄露，所有用户的第三方账号都会直接暴露
• 没有提到用户身份与数据的绑定逻辑，如果没有严格的权限控制，用户可以越权访问其他用户的密文数据，哪怕数据加密也存在被暴力破解的风险
• 你当前的个人Google账号如果持有项目的高权限，不仅能访问Firestore的密钥，还能修改云函数、KMS权限配置，一旦账号被攻破，整个系统的安全完全失守。

问题5：其他额外建议 #

• 尽量不要存储用户的第三方账户明文凭证，优先对接第三方平台的OAuth授权接口，仅存储授权令牌，令牌泄露的危害远低于账户密码
• 对用户第三方凭证、爬取结果数据采用不同的KMS密钥分开加密，进一步缩小风险影响范围
• 遵循最小权限原则，你的个人Google账号不要授予KMS的解密权限，仅给云函数的服务账号开放必要的加解密权限，哪怕个人账号被攻破，也无法解密用户数据
• 云函数的日志中严格禁止打印任何敏感信息，包括用户凭证、加密密钥、明文数据、DEK等内容
• 信封加密方案中建议每个用户生成专属的DEK，不要所有用户共用同一个DEK，单个用户的DEK泄露不会影响其他用户的数据安全。

内容的提问来源于stack exchange，提问作者Christian