Firebase 动态链接短 url 信息是否公开？

Question

攻击者能否查看缩短的 firebase 动态链接的查询参数？

如果是，使用包含组 ID 的邀请链接来访问该特定组是否足够安全。

在那种情况下，技术上不会存在有人让程序尝试所有 ID 直到他们获得正确 ID 的安全问题吗？

Answer 1

经过一番研究，url参数确实暴露可见。

其次，firebase 文档 ID 由 20 个字符组成，每个字符可以是 26 * 2（字母大写和小写）+ 10 个数字可能性。 这意味着一个 ID 有62^20 个组合，祝任何尝试这个数量的人好运。

第三，我相信如果用户滥用资源，App attest 会阻止他。