使用Firebase限制HTML页面仅登录用户访问的实现方案安全性咨询

你的当前方案仅能解决未登录用户访问时的页面内容闪现体验问题，不存在任何实质安全防护能力，存在严重的信息泄漏隐患，核心问题如下：

• 前端控制逻辑完全不可信：所有客户端侧的显示、跳转逻辑都可以被轻易绕过，攻击者仅需通过浏览器开发者工具手动修改body元素的display属性为block、禁用页面JavaScript，或是直接查看页面源代码，就能完整获取页面所有内容，完全不会触发重定向逻辑。
• 静态页面直接可被下载：未授权用户可以通过curl、wget等工具直接请求页面URL，直接下载完整的HTML源码，全程不会执行你的JavaScript校验逻辑，页面内的所有敏感内容会直接泄漏。
• 客户端校验可被伪造：攻击者可以篡改页面内的Firebase Auth实例，伪造onAuthStateChanged回调的user参数，直接让你的校验逻辑判定为已登录状态，不需要真实通过账号密码验证。

你的现有display:none的逻辑可以保留作为体验优化手段，但绝对不能作为核心安全防护逻辑，需要补充以下防护措施：

• 敏感页面必须做服务端校验：如果你的页面包含不能公开的敏感内容，必须在服务端层面校验用户的Firebase ID Token合法性，校验通过后再返回完整页面内容，未通过校验直接返回302重定向到登录页，不要将完整的敏感页面内容提前下发给未授权用户。
• 敏感数据完全走后端接口获取：如果必须使用纯静态页面方案，页面内不要硬编码任何敏感内容，所有敏感数据统一从Firestore、Realtime Database等后端服务拉取，同时给这些后端服务配置严格的安全规则，仅授权登录用户才能读取对应数据，这样哪怕攻击者拿到了静态页面壳，也无法获取到任何敏感信息。

内容的提问来源于stack exchange，提问作者Tor Arne Falk