不使用 Firebase 安全規則怎么會有安全風險？

Question

我有一個 nextjs 應用程序，我正在使用 firebase 數據庫。 我沒有添加安全規則，因為我沒有使用身份驗證。

我在 Vercel 上托管，我的 firebase 配置存儲在環境變量中。 我聽說不使用 firease 存在安全風險，但我不明白這是怎么回事。 即使客戶端發出請求，服務器 API 也是發出 firebase 調用的服務器。

如果我不使用安全規則，用戶如何破解我的 firebase 請求並修改我的數據庫？

Answer 1

如果您的客戶端應用程序未使用提供的 web 或移動 API 直接訪問數據庫，則永遠不會使用安全規則。 它們僅適用於 web 和移動接入。 后端訪問完全繞過規則。

如果您沒有直接的客戶端訪問權限，那么安全規則就毫無意義。 除了利用缺乏規則之外，黑客將不得不找到其他一些方法來獲得對您的數據庫的未授權訪問。