无用户认证场景下Firebase Realtime Database安全配置问题咨询

• 第一步：收紧数据库安全规则，默认全局拒绝所有读写权限，仅开放前端需要读取的路径的读权限，完全关闭所有路径的公开写权限。示例规则如下：

{
  "rules": {
    // 前端需要读取的公开数据路径，开放读权限，关闭写权限
    "public_data": {
      ".read": true,
      ".write": false
    },
    // 其余所有路径默认拒绝所有读写
    ".read": false,
    ".write": false
  }
}

Firebase服务账号发起的请求默认绕过安全规则，拥有全库读写权限，所以上述规则不会影响Java后台的写入操作。

• 第二步：所有Java写入任务统一使用Firebase Admin SDK配合服务账号密钥初始化，禁止使用客户端SDK初始化方式执行写入操作，避免密钥泄露带来的安全风险。
• 第三步：开启数据库访问审计日志，定期排查异常访问请求，及时拦截未授权的访问尝试。
• 第四步：敏感数据不要存放在开放读权限的路径下，非公开数据仅通过服务账号访问。

Java后台写入访问 #

1. 进入Firebase控制台「项目设置」-「服务账号」页面，生成服务账号私钥JSON文件，存入Java项目的受信任目录，不要提交到代码仓库。
2. 用服务账号密钥初始化Firebase Admin SDK，示例代码如下：

import com.google.auth.oauth2.GoogleCredentials;
import com.google.firebase.FirebaseApp;
import com.google.firebase.FirebaseOptions;
import java.io.FileInputStream;
import java.io.IOException;

public class FirebaseInit {
  public static void init() throws IOException {
    FileInputStream serviceAccount = new FileInputStream("path/to/你的服务账号密钥.json");
    FirebaseOptions options = FirebaseOptions.builder()
      .setCredentials(GoogleCredentials.fromStream(serviceAccount))
      .setDatabaseUrl("https://你的数据库实例名.firebaseio.com")
      .build();
    FirebaseApp.initializeApp(options);
  }
}

3. 初始化完成后直接调用Admin SDK的数据库API执行写入操作即可，SDK会自动处理认证签名，无需额外传参。

前端HTML应用读取访问 #

直接用Firebase客户端SDK初始化项目即可，不需要额外传入认证信息，只要读取的路径在安全规则中开放了读权限，就能正常获取数据，初始化示例如下：

// 你的项目配置，可从Firebase控制台直接获取
const firebaseConfig = {
  apiKey: "你的项目API Key",
  authDomain: "你的项目id.firebaseapp.com",
  databaseURL: "https://你的数据库实例名.firebaseio.com",
  projectId: "你的项目id",
  storageBucket: "你的项目id.appspot.com",
  messagingSenderId: "你的消息发送者ID",
  appId: "你的应用ID"
};
// 初始化SDK
firebase.initializeApp(firebaseConfig);
// 读取公开路径数据
const publicRef = firebase.database().ref("public_data");
publicRef.get().then(snapshot => {
  console.log(snapshot.val());
});

开发测试阶段HTTP客户端访问 #

如果需要用HTTP客户端临时测试读写操作，可以在Firebase控制台「项目设置」-「服务账号」页面获取数据库密钥，请求时在URL末尾添加?auth=你的数据库密钥参数即可获得全库读写权限，注意该密钥仅用于本地测试，禁止泄露或在生产环境使用。

内容的提问来源于stack exchange，提问作者王子1986