使用客户端/应用程序身份验证而不是用户身份验证的 Firebase Android 应用程序

Question

我的应用程序没有个人用户，而是有一些由客户端生成并且其他人可以看到的数据，例如公共聊天频道，用户名也是临时的。

我不需要对每个用户帐户数据进行身份验证。 相反，如果请求来自我的应用程序，则不应提供它。 我看到有用户身份验证，但这意味着我必须跟踪 uids 等，这也会增加数据存储，其他选项是如果我删除身份验证（设置读/写公共）并从我的应用程序调用数据更改。

我可以在我的 android 应用程序中使用服务器使用的应用程序机密功能，如果可以，如何使用？ 这是服务器的规则：

{
  "rules": {
    ".read": true,
    ".write": "auth.uid = 'myserver'"
  }
}

如何使它适用于我的 android 应用程序？

我的应用程序如何在没有身份验证的情况下不安全（设置读/写公开），当只有我知道 url 并且只有我的包是从服务器上的 android 应用程序选项配置的？

除了用户身份验证之外，还有其他方法可以保证数据安全吗？

Answer 1

我知道你问这个问题已经有几年了，但我想让你知道现在终于可以了。

多亏了一项名为Firebase App Check的新功能，现在实际上可以将对实时数据库的调用限制为仅来自在 Firebase 项目中注册的 iOS、Android 和 Web 应用程序的请求。

您通常希望将此与安全规则提供的基于用户身份验证的安全性结合起来，以便用户只能做他们被授权做的事情。 但在您的情况下，仅 App Check 可能/已经足够了。