Firestore 查询的安全性如何？ 数据可以被嗅探或黑客攻击吗？

Question

我正在构建 flutter 移动应用程序，该应用程序集中使用 firebase 服务和 firestore。 在应用程序启动时，应用程序与 firestore 通信以检索应用程序在不同服务中使用的一些基本密钥和参数，例如 API 密钥、ID 等。

想了解这种方法是否足够安全？ 或者有可能通信（firestore 查询）以某种方式被黑客攻击并且密钥被盗？

注意：我使用的是简单的 firebase 规则，如果用户使用 Firebase 身份验证登录，则允许读写

我确实可以在应用程序代码中对这些密钥进行硬编码，但是我更喜欢这种数据库方法，以便在服务提供商出于任何原因更改这些密钥时让自己有机会更改这些密钥。

非常感谢任何答案或链接。

Answer 1

您应该假设在您的客户端应用程序中使用的任何值都可以被恶意用户找到并用于他们自己的目的。

一旦有人拥有这些密钥，他们就可以调用需要它们的 API，这与您自己的应用程序代码所做的不同，除非您使用其他方法来防止这种情况发生，例如 Firebase 的安全规则和App Check 。

在使用安全规则时，防止有人做与您的应用程序用例不同的事情的最佳方法是在安全规则中也对这些用例进行编码。 因此，与其仅仅要求某人登录，不如扩展您的规则以验证是否仅允许您自己的代码所需的操作。 逐个用例锁定它，直到您的鳕鱼和规则涵盖同一组用例。

另见：

• 将 Firebase apiKey 公开给公众安全吗？
• 来自 web 控制台的谷歌 FireStore 安全破解