Firebase云消息传递在客户端的安全性如何？

Question

的确，firebase提供了客户端sdk和服务器端的admin sdk来使用Firebase云消息传递。

让我感到困惑的是：

我们在公共javascript文件或脚本标签中包含客户端初始化代码。 有人看不到此初始化凭据并将发帖请求直接发送到连接到我们应用程序的设备吗？ 如果用户不断发送垃圾邮件或恶意通知怎么办？ 难道整个FCM功能都只能由admin sdk提供吗？

我正在为项目的nodejs应用程序使用Firebase托管，并且对如何实现FCM感到非常困惑。

Firebase通过云消息传递和通知提供哪种身份验证或检查？

在我的Web应用程序客户端中使用FCM通知的安全性如何？

Answer 1

切勿公开旧版FCM中使用的FCM Api密钥。 如果您担心它，只需从您的项目的Google云管理控制台中禁用GCM post api。

现在，他们的新v1 API使用通过服务器上的服务帐户密钥发行的Oauth令牌。 这样就可以防止滥用行为。 切勿将服务帐户密钥放在可公开访问的地方。 您必须在您的项目的Google云管理控制台中启用此功能。

可以安全地将数据库URL，存储桶信息，应用程序ID和db的apikey公开。

例如，在我的Web项目中，应该单击按钮以发送通知，然后将数据发布到Servlet，该Servlet实际上将包含FCM部分。 现在，这将防止滥用。