如何保护 Firebase 实时数据库 Rest API？

Question

让我先解释一下场景：

1. 实时数据库如下所示：

{
  "Notifications": {
    "348199": 1, //Every change will increment one (1, 2, 3, 4, etc...)
    "737119": 1, //Every change will increment one (1, 2, 3, 4, etc...)
    "899173": 1  //Every change will increment one (1, 2, 3, 4, etc...)
  }
}

2.客户端（Android应用）：

假设当前用户 id 是(348199) ，我将创建一个监听器来观察这个节点(348199)上的任何变化，当值发生变化时，我会告诉用户他有一个新的通知。

3、服务器端（API是用PHP语言编写的）：

假设有人向该用户(348199)发送好友请求，首先我将在存在于 MySQL 内的 Notifications 表中添加一个通知，添加成功后我将更改实时数据库中(348199)的值

4. 将改变值的URL（补丁请求）

https://IHideIt-default-rtdb.firebaseio.com/Notifications.json

问题是：

I want to reject the write request inside Firebase Real-Time Database if was coming from a browser, postman, my android app, etc..., How can I secure the URL above? （我只希望我的 API 可以在 Firebase 实时数据库中写入）

Answer 1

您可以使用安全规则拒绝来自客户端 SDK 的写操作。 管理员 SDK仍然可以从服务器端读取/写入数据库。 尝试以下规则：

{
  "rules": { 
    "Notifications": {  
      "$uid": {
        ".write": "false",
        ".read": "auth.uid == $uid"
      }
    }
  } 
}

这些规则将只允许用户阅读他们自己的通知（如果您使用的是 Firebase Auth）而不是写入数据库。