将GCP projectID提交到远程代码仓库是否存在安全风险？

核心结论 #

GCP Project ID不属于敏感凭据范畴，公开提交到公共GitHub仓库是安全的，这也是业界普遍不将其作为风险点处理的核心原因。 #

原因解释 #

• GCP/Firebase的权限体系核心依赖服务账号密钥、OAuth访问令牌、管理员凭据这类具备权限属性的敏感信息，Project ID仅作为项目的全局唯一标识符，本身不携带任何访问权限，攻击者仅获取到Project ID无法对项目资源执行任何未授权操作。
• Firebase官方的项目初始化流程默认会将Project ID写入.firebaserc、前端SDK初始化配置等文件中，这类文件从设计层面就是允许公开提交的，官方文档也从未要求开发者隐藏Project ID。

需要注意的风险边界 #

仅在以下特殊场景下需要额外处理，不属于常规安全风险范畴：

• Project ID和内部未公开的业务代号、产品命名强绑定，公开后可能造成非技术类的业务信息泄露，这种情况可以自行做混淆处理，但不属于凭据泄露风险。
• 如果你为项目配置了无身份验证即可访问的公开API（例如未设置规则限制的Firestore、Cloud Storage存储桶），攻击者可以通过Project ID批量扫描你的公开接口，若接口本身存在权限配置漏洞会扩大攻击面，但该风险的根源是接口权限配置不当，而非Project ID公开导致的。
• 绝对不要将Firebase服务账号密钥JSON文件、CI/CD用的FIREBASE_TOKEN、管理员SDK敏感配置这类高风险凭据和.firebaserc一起提交到公开仓库，这类信息必须通过GitHub Secrets等加密存储方案管理，不可明文公开。

最终建议 #

如果没有上述特殊场景，直接提交包含Project ID的.firebaserc到公共仓库完全符合安全规范，不需要额外做隐藏处理。

内容的提问来源于stack exchange，提问作者Mike Mwanje