如何在 Flutter 中通过 HTTP Post 请求将 AuthPayload 发送到 Firebase Realtime-Database

Question

我已经构建了我的应用程序以使用 http.post 请求将数据发送到 Firebase RealtimeDB，并且一切正常，直到我添加了读写规则，顺便说一句：

{
  "rules": {
    ".read"  : false,
    ".write" : false,

    "client":{
      "$uid":{
        ".read": "auth.uid === $uid",
        ".write": "auth.uid === $uid"
      }
    }
  }
}

请求的代码如下：

createClient (ClientModel client) async{

    final userData = new SavedUserData();

    final url = '$_dbUrl/cliente/${userData.uid}.json?auth=${userData.uid}';

    final resp = await http.post(url, body: clientModelToJson(client));

我收到一个解析错误，我明白了，auth 没有发送 .json 文件，但也没有：

• auth={"uid":"myUsersUid"}
• auth="{"uid":"myUsersUid"}"
• 使用 {"uid":"myUsersUid"} 编码地图并将其附加到 url

似乎成功了！

我几乎可以肯定我犯了一个巨大的新手错误，但我似乎无法看到哪里。 提前感谢您的时间！

Answer 1

无法将任意 UID 发送到实时数据库 REST API。 这实际上是一个相当大的安全漏洞——它允许任何有互联网连接的人冒充只知道他们 UID 的注册用户。

为了了解 auth 如何与 RTDB 一起工作，请从文档开始。 您有两种传递身份验证令牌的选项：

通过以下方法之一对用户进行身份验证：

• Google OAuth2 访问令牌 - 通常，读取和写入实时数据库的能力受实时数据库规则的约束。 但是，您可以从服务器访问您的数据，并使用从服务帐户生成的 Google OAuth2 访问令牌授予该服务器对您的数据的完全读写访问权限。

• Firebase ID 令牌 - 您可能还想发送以个人用户身份进行身份验证的请求，例如使用客户端 SDK 上的实时数据库规则限制访问。 REST API 接受客户端 SDK 使用的相同 Firebase ID 令牌。

您将需要传递 ID 令牌（而非 UID），该令牌只能通过最终用户帐户成功登录获得。 您可以在此处了解有关 ID 令牌的更多信息。