保護 Firebase 可調用函數免受中間人的影響

Question

我在 iOS 上使用 firebase 制作了我的移動應用程序，並且我使用可調用函數與數據庫進行通信。

當我嘗試使用像 Charles 這樣的簡單應用程序執行“中間人”攻擊/移動時，我可以看到我所有的呼叫以及我發送的純文本數據。 當我使用像 iTunes 這樣的知名應用程序時，我無法解密任何東西（我認為這就是我們所說的 ssl pinning）

我有3個問題：

• firebase 雲功能（https.callable）是否處理​​ ssl pinning？
• 如果不是，我該如何保護？ 將節點用於我的功能，是否可以從 firebase 請求 ssl 證書並將其鏈接到功能？
• 移動 SDK 請求是否已固定？ 我在我的嗅探應用程序上看不到任何有關讀取調用的信息。

謝謝你們。

Answer 1

根據 Doug 的這篇文章，進出 Google 的所有數據都是加密的（包括客戶端 SDK）。 根本沒有辦法解決這個問題。

現在，您可以更進一步，通過配置App Check來防止濫用，根據文檔，它提供了額外的安全層來防止計費欺詐和網絡釣魚。

但是，您仍然需要檢查身份驗證令牌（通過 onCall 函數自動傳遞）以確保用戶有權執行他們正在調用的函數。