iOS端无需用户Firebase认证时如何限制Firebase Storage仅自有应用访问？

• 关于「创建单独Firebase用户全局登录」的思路：可行但存在安全隐患。你可以直接在Firebase Auth后台创建一个固定的邮箱密码用户/匿名用户，将登录凭证硬编码在iOS端，应用启动时调用Auth.auth().signIn(withEmail:password:)完成自动登录，完全适配你当前的存储规则，不需要额外修改配置。但该方案的风险点在于，如果有人逆向iOS应用提取到凭证，就能获得存储桶的全局读写权限，仅适合对安全要求较低的场景使用。
• 关于「用密钥绕过规则执行存储操作」的思路：禁止在客户端使用。Firebase Admin SDK确实可以通过服务账户密钥绕过所有存储规则直接读写资源，但服务账户密钥属于最高权限凭证，绝对不能嵌入到客户端代码中，一旦泄露会导致整个项目的所有Firebase资源完全失控，该方案直接排除。

你已经有自研的Vapor后端，完全不需要让iOS端接触Firebase存储的权限逻辑，调整上传流程即可实现最高安全性：

1. iOS端需要上传图片时，先向Vapor后端发起请求，申请对应文件的上传权限
2. Vapor后端通过Firebase Admin SDK生成限时可写的签名URL，返回给iOS端，你可以在这一步附加文件大小、格式校验、用户权限判断等逻辑
3. iOS端直接将图片通过PUT请求上传到该签名URL，不需要做任何Firebase相关的认证操作
4. 上传完成后，你可以直接拼接存储路径或者由后端返回正式的资源URL存入数据库即可

对应的Firebase存储规则可以直接设置为完全禁止公开访问，签名URL会绕过规则校验，仅你后端有权限生成：

service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write: if false;
    }
  }
}

该方案的优势非常明显：

• 不需要在iOS端集成Firebase Auth，也不存在任何凭证泄露的风险
• 可以灵活控制签名URL的有效期，比如设置为10分钟过期，即使URL临时泄露也不会产生安全问题
• 后期更换存储服务时不需要修改iOS端逻辑，仅调整后端的签名URL生成逻辑即可

如果你坚持要iOS端直接上传到Firebase存储，可以对固定用户方案做优化降低安全风险：

1. 在Firebase Auth中创建固定用户后，记录该用户的UID
2. 修改存储规则，仅允许该用户写入指定的上传目录，不开放读权限、也不允许操作其他目录的资源：

service firebase.storage {
  match /b/{bucket}/o {
    // 后端服务账户不受规则限制，可正常读写全量资源
    match /user_uploads/{fileName} {
      allow write: if request.auth.uid == "你创建的固定用户的UID";
    }
    match /{allPaths=**} {
      allow read, write: if false;
    }
  }
}

3. 对iOS端硬编码的登录凭证做混淆处理，不要直接明文存储，降低被逆向提取的概率

内容的提问来源于stack exchange，提问作者derekahc