Firebase云函数向服务端/API传输敏感信息的加密问题咨询

结论 #

你不需要额外在客户端对敏感数据做加解密处理，Firebase云函数的可调用HTTPS接口已经默认提供了传输层的加密能力。

• 所有客户端到Firebase可调用云函数的请求默认走HTTPS协议，使用TLS 1.2及以上版本加密传输，你传入的参数在传输过程中为密文，中间人无法直接获取明文内容。
• 你查询到的Firestore服务端加密是针对Firestore数据库存储场景的能力，仅对写入Firestore的数据生效，和云函数的请求传输无关，不适用于当前场景。
• 你当前的流程中敏感数据不会在你的服务侧落地存储，仅在云函数内存中临时存在后，就通过TLS加密传输到Dwolla API，本身安全风险已经很低。

可选优化建议 #

如果你的业务涉及金融数据合规要求（比如PCI DSS、GLBA等），想要进一步降低泄露风险，可以参考以下做法：

• 严格禁止在云函数代码中将银行账号、路由编号等敏感参数打印到日志、监控等任何可持久化的系统中，避免意外泄露。
• 如果要增加额外的加密层，建议使用非对称加密方案：客户端仅保留公钥用于加密敏感参数，私钥仅保存在云函数运行环境用于解密，不要使用对称加密，避免密钥在客户端代码中泄露。

内容的提问来源于stack exchange，提问作者cp22222