Firebase电子邮件和密码身份验证是否具有任何安全配置选项？

Question

在嗅探Firebase流量时，我已经看到代码被传递给auth服务器，因此它总是返回200状态代码。 这表明在身份验证协议中某些级别存在某种级别的可选安全性。

当用户输入不存在的电子邮件地址时，如果输入错误的密码，是否有办法导致Firebase身份验证失败并显示相同的错误消息？

INVALID_USER状态代码让我担心用户枚举攻击的可能性，在我的应用程序通过脚本注入受到攻击的情况下。

有关如何更安全地锁定Firebase身份验证协议的信息，和/或某些关于智能速率限制（某种程度上是分布式攻击免疫？）的声明可能会对我保证Firebase的内置电子邮件和密码有很长的路要走auth确实是安全的（假设Firebase规则设置正确，证书不会在客户端上受到损害等）。

Answer 1

（Firebase员工）目前，答案是否定的：您无法控制向客户端报告的状态代码。

好消息是枚举攻击相当困难，因为我们通过原点限制请求以减轻任何蛮力方法。