Firebase Functions如何不使用完整管理权限访问Firestore？

全量Admin权限的安全性 #

默认配置下云函数使用的运行时服务账号拥有Editor级别权限，搭配Admin SDK使用时确实具备几乎所有Firebase资源的操作权限，这种配置存在安全风险：如果函数代码存在逻辑漏洞、参数校验不全等问题，一旦被恶意利用，攻击者可能通过该函数操作所有云资源，造成数据泄露或损坏。

逆向工程的风险 #

可调用云函数的客户端调用代码即使被逆向，也只会暴露函数的公开调用方式，云函数运行时的服务端凭证、内部逻辑都不会泄露到客户端，因此不存在逆向工程拿到Admin权限凭证的风险。风险点主要集中在公开的函数端点被恶意调用，而非凭证泄露。

非法调用拦截方案 #

你可以通过多层校验拦截非法调用：

• 可调用云函数自带身份校验能力，你可以在函数逻辑中读取context.auth字段，首先校验调用者是否为已登录的合法用户，未登录的请求直接拒绝。
• 增加业务逻辑校验：比如用户集合相关的函数，仅允许用户修改和自身UID匹配的用户文档，禁止越权操作其他用户的数据。
• 增加参数校验：对所有客户端传入的参数做格式、范围校验，避免注入类攻击利用代码漏洞。
• 配置调用频率限制：可以自行实现限流逻辑，或者使用Firebase官方扩展配置单IP、单用户的调用频率上限，避免接口被暴力破解或恶意刷取。

单个云函数的权限限制方法 #

完全可以给单个云函数配置最小权限，常用方案有两种：

• 自定义服务账号绑定：在Google Cloud IAM控制台新建独立的服务账号，仅给该账号分配用户集合的读写权限，部署云函数时指定使用该自定义服务账号即可，部署命令为：

firebase deploy --only functions:你的函数名 --service-account 自定义服务账号邮箱

• 开启Admin SDK安全规则校验：初始化Admin SDK后，调用Firestore时开启安全规则校验，代码如下：

const admin = require('firebase-admin');
admin.initializeApp();
// 开启安全规则校验，Admin SDK的请求也会受Firestore安全规则限制
const db = admin.firestore().withSecurityRulesDisabled(false);

之后你只需要在Firestore安全规则中配置好用户集合的访问限制，就算使用Admin SDK也无法越权操作其他资源。

内容的提问来源于stack exchange，提问作者AyseAsude