Firebase 帐户：潜在的服务攻击？

Question

有人可以向我解释为什么坏人不能对我的应用程序的潜在新用户造成以下破坏吗？

坏演员：

1. 从黑暗的 web 或其他一些恶意来源获取电子邮件列表。

2. 通过检查我的应用程序 javascript 获取我的 Firebase 密钥——是的，我的应用程序被缩小了，但它仍然是可能的。

3. 在本地浏览器上将恶意 javascript 代码插入到我的应用程序源中。 恶意代码使用 Firebase sdk 和我的应用程序密钥为每个 email 地址创建帐户。

虽然坏人不可能访问经过验证的帐户；
尽管如此，创建这些帐户会向电子邮件所有者生成未经请求的 email 验证请求，并且当这些用户确实想要注册时，它还会干扰这些用户顺利创建帐户的体验。

我在这里错过了什么吗？

Answer 1

炮兵在这里

正如 Dharmaraj 还评论的那样：您在应用程序中包含的 Firebase 配置用于标识代码应连接到的项目，它本身并不是任何一种安全机制。 在向公众公开 Firebase apiKey 安全吗？

您已经在问题中指出，创建一系列帐户不会使用户数据面临风险，这确实也是正确的。 在您的项目中创建帐户不会授予用户对您项目中其他用户帐户或数据的任何访问权限。 如果您使用 Firebase 的后端服务之一，则应确保该服务的安全规则也不会执行此操作。

谜题的最后一块是 Firebase 有许多（有意未记录或记录不足的）安全防护措施防止滥用，例如各种类型的速率限制和配额。

哦，我建议您在大部分测试中使用本地模拟器，因为这样会更快，不会因快速编码错误而意外增加费用的风险，并且（此处最相关）没有影响端到端测试的速率限制。