Firebase Auth存在哪些已知安全漏洞？有哪些推荐安全配置？

Firebase Auth作为Google官方维护的成熟身份认证服务，本身不存在公开未修复的高危通用漏洞，绝大多数相关安全问题都来源于开发者的配置不当。

常见配置类安全风险 #

• 注册枚举攻击：前端公开的API密钥本身属于Firebase设计允许公开的信息，但如果未开启枚举保护，攻击者可以批量遍历邮箱、手机号判断是否已在平台注册，用于后续定向钓鱼、撞库攻击
• 自定义声明篡改：如果仅在客户端读取自定义声明做权限判断，未在安全规则、后端接口等可信环境校验声明有效性，攻击者可通过本地篡改客户端SDK返回的ID Token payload，伪造高权限身份
• 邮箱验证缺失：业务逻辑未校验emailVerified字段的情况下，攻击者可使用虚假邮箱注册账号，冒用他人身份执行操作
• ID Token重放：随意调长ID Token默认的1小时有效期、或是敏感操作未强制要求重新校验用户身份，一旦Token泄露会被攻击者长期滥用
• 多因素认证缺失：未开启MFA的账号，一旦用户密码泄露就会被攻击者直接登录
• 匿名用户权限滥用：开启匿名登录但未限制匿名用户的资源访问权限，攻击者可批量生成匿名账号占用资源、发起恶意请求

推荐安全配置 #

• 开启注册枚举保护：在Firebase控制台「认证」-「设置」中开启「电子邮件枚举保护」，阻止攻击者通过接口返回值判断账号是否已注册
• 强制校验邮箱验证状态：所有需要身份真实性的业务逻辑，包括安全规则、后端接口，必须校验ID Token中的emailVerified字段为true才允许执行操作
• 敏感操作强制重新认证：涉及修改账号信息、资产操作的场景，先调用reauthenticateWithCredential接口要求用户重新输入密码或验证第二因子，再执行后续操作
• 合理配置Token有效期：不要随意调长ID Token默认1小时的有效期，敏感场景可搭配后端自定义会话管理逻辑使用
• 按需开启多因素认证：支持普通用户自主开启短信或TOTP多因素认证，高权限账号强制要求开启MFA
• 限制授权域名：在Firebase控制台「认证」-「设置」-「授权域名」中仅添加业务实际使用的域名，避免第三方站点盗用你的API密钥发起认证请求
• 严格管理自定义声明：自定义声明必须通过Firebase Admin SDK在后端、云函数等可信环境下发，所有权限判断必须在安全规则、后端接口侧校验ID Token的声明，禁止仅在客户端做权限校验
• 缩减攻击面：在控制台关闭你业务没有用到的登录提供商，禁用不需要的认证功能
• 开启账号防护：针对密码登录用户，开启官方提供的密码泄露检测、可疑登录拦截功能

补充说明 #

客户端JS代码可查看到认证逻辑属于Firebase的正常设计，只要做好上述配置，公开的API密钥和认证逻辑不会带来额外的安全风险。你已经配置的实时数据库权限、全站SSL、Google自带的登录失败IP封禁已经覆盖了基础的暴力破解防护，搭配上述配置即可覆盖绝大多数Auth相关的安全风险。

内容的提问来源于stack exchange，提问作者Kevin Danikowski