用户没有帐户的游戏的 Firestore 安全性

Question

我对文档中坚持让用户登录以进行身份验证感到困惑。 使用纸牌游戏应用程序，我希望用户能够轻松上手（无需登录），找到要玩的游戏，然后玩游戏。 打牌时，每回合都会记录在 Firestore 中，并通知所有用户读取更改的参数。 所以所有用户都可以读、写和更新。 即使我确实让用户登录，任何人都可以创建一个帐户，除非我拒绝了一些游戏参与者，否则我不会再领先了。 我知道我可以设置规则，使所有数据都小。 我可能会检查以确保在一段时间后没有数据被存储而未被使用，并且我可以删除该游戏的集合。 是我使用这种程序来防止数据库变得太大，还是让“坏”用户找出数据在哪里，并覆盖某些游戏的数据。

Answer 1

如果您想要一种让用户登录的低摩擦方式，请使用匿名身份验证。 它将为用户提供一个具有 UID 的帐户，而无需任何提示。 然后，您可以使用安全规则来保护每个用户的信息，因为匿名帐户与普通帐户一样具有 UID。 然后，当用户想要在您的游戏中获得更永久的身份时，您可以决定让他们升级该帐户（因为如果用户清除其设备本地存储，匿名帐户将变得无法访问）。