向公众公开 Firebase apiKey 是否安全？

此配置代码段中的代码段仅标识您在 Google 服务器上的 Firebase 项目。有人知道它不是安全风险。事实上，他们必须知道这一点，以便他们与您的 Firebase 项目进行交互。使用 Firebase 作为后端的每个 iOS 和 Android 应用中也包含相同的配置数据。apiKey

从这个意义上说，它与在同一代码段中标识与您的项目关联的后端数据库的数据库 URL 非常相似：.请参阅以下问题，了解为什么这不是安全风险：如何限制 Firebase 数据修改？，包括使用 Firebase 的服务器端安全规则来确保只有授权用户才能访问后端服务。https://<app-id>.firebaseio.com

如果您想了解如何保护对 Firebase 后端服务的所有数据访问均已获得授权，请阅读有关 Firebase 安全规则的文档。这些规则控制对文件存储和数据库访问的访问，并在 Firebase 服务器上强制执行。因此，无论是您的代码，还是其他人的代码使用您的配置数据，它都只能执行安全规则允许它执行的操作。

有关 Firebase 将这些值用于哪些目的以及您可以为哪些值设置配额的其他说明，请参阅有关使用和管理 API 密钥的 Firebase 文档。

---

如果您想降低将此配置数据提交到版本控制的风险，请考虑使用 Firebase Hosting 的 SDK 自动配置功能。虽然密钥最终仍将以相同的格式出现在浏览器中，但它们将不再被硬编码到您的代码中。

---

更新（2021 年 5 月）：借助名为 Firebase App Check 的新功能，现在可以将对 Firebase 项目中后端服务的访问限制为仅来自该特定项目中注册的 iOS、Android 和 Web 应用的后端服务。

您通常希望将其与上述基于用户身份验证的安全性相结合，以便您有另一道屏障，防止使用您的应用的滥用用户。

通过将 App Check 与安全规则相结合，您既可以广泛防止滥用，又可以很好地控制每个用户可以访问的数据，同时仍然允许从客户端应用程序代码直接访问数据库。

根据 prufrofro 和 Frank van Puffelen 的回答，我把这个设置放在一起，它不会阻止抓取，但会使使用 API 密钥变得更加困难。

警告：要获取您的数据，即使使用这种方法，也可以简单地在 Chrome 中打开 JS 控制台并输入：

firebase.database().ref("/get/all/the/data").once("value", function (data) {
    console.log(data.val());
});

只有数据库安全规则才能保护您的数据。

尽管如此，我还是将我的生产 API 密钥的使用限制在我的域名上，如下所示：

1. https://console.developers.google.com/apis
2. 选择您的 Firebase 项目
3. 凭据
4. 在“API 密钥”下，选择您的浏览器密钥。它应如下所示：“浏览器密钥（由 Google 服务自动创建）"
5. 在“接受来自这些的请求 HTTP referrers （web sites）“，添加应用的 URL（例如：projectname.firebaseapp.com/* )

现在，该应用程序将仅适用于此特定域名。因此，我创建了另一个 API 密钥，该密钥对于本地主机开发来说是私有的。

1. 单击 Create credentials > API Key

默认情况下，正如 Emmanuel Campos 所提到的，Firebase 仅将 localhost 和您的 Firebase 托管域列入白名单。

---

为了确保我不会错误地发布错误的 API 密钥，我使用以下方法之一在生产中自动使用更受限制的密钥。

Create-React-App 的设置

在：/env.development

REACT_APP_API_KEY=###dev-key###

在：/env.production

REACT_APP_API_KEY=###public-key###

在/src/index.js

const firebaseConfig = {
  apiKey: process.env.REACT_APP_API_KEY,
  // ... 
};

我不相信向客户端公开安全/配置密钥。我不会说它是安全的，不是因为有人可以从第一天起窃取所有私人信息，因为有人可以提出过多的要求，耗尽你的配额，让你欠谷歌很多钱。

您需要考虑许多概念，包括限制人们不要访问他们不应该访问的地方、DOS 攻击等。

我更希望客户端首先会攻击您的 Web 服务器，在那里您将第一手防火墙、验证码、cloudflare、自定义安全性放在客户端和服务器之间或服务器和 firebase 之间，然后您就可以开始了。至少您可以在可疑活动到达 firebase 之前首先阻止它。您将拥有更大的灵活性。

我只看到一个很好的使用场景，即使用基于客户端的配置进行内部使用。例如，你有内部域，你很确定外部人员无法访问那里，所以你可以设置浏览器等环境 -> firebase 类型。

启用用户/密码注册时，API 密钥暴露会造成漏洞。有一个开放的 API 端点，它获取 API 密钥并允许任何人创建新的用户帐户。然后，他们可以使用这个新帐号登录受 Firebase 身份验证保护的应用，或使用 SDK 通过用户/传递进行身份验证并运行查询。

我已经向谷歌报告了这个问题，但他们说它正在按预期工作。

如果无法禁用用户/密码帐户，则应执行以下操作： 创建一个云函数以自动禁用新用户 onCreate，并创建一个新的数据库条目来管理他们的访问权限。

例如：MyUsers/{userId}/Access：0

exports.addUser = functions.auth.user().onCreate(onAddUser);
exports.deleteUser = functions.auth.user().onDelete(onDeleteUser);

更新规则，仅允许具有 1 访问权限的用户读取>。

如果侦听器函数没有足够快地禁用帐户，则读取规则将阻止它们读取任何数据。

我相信，一旦数据库规则写得准确，就足以保护你的数据。此外，可以遵循一些准则来相应地构建您的数据库。例如，在用户下创建一个 UID 节点，并将所有信息放在它下面。之后，您将需要实现一个简单的数据库规则，如下所示

  "rules": {
    "users": {
      "$uid": {
        ".read": "auth != null && auth.uid == $uid",
        ".write": "auth != null && auth.uid == $uid"
      }
    }
  }
}

其他用户将无法读取其他用户的数据，此外，域策略将限制来自其他域的请求。 可以在Firebase安全规则上阅读更多关于它的信息

虽然回答了最初的问题（API 密钥可以公开 - 必须从数据库 rulles 设置数据保护），但我也在寻找一种解决方案来限制对数据库特定部分的访问。 因此，在阅读了这篇文章以及一些关于可能性的个人研究之后，我想出了一种稍微不同的方法来限制未经授权的用户的数据使用：

我也将我的用户保存在我的数据库中，在相同的 uid 下（并将配置文件数据保存在那里）。所以我只是像这样设置数据库规则：

".read": "auth != null && root.child('/userdata/'+auth.uid+'/userRole').exists()",
".write": "auth != null && root.child('/userdata/'+auth.uid+'/userRole').exists()"

这样，只有以前保存的用户才能在数据库中添加新用户，因此没有帐户的任何人都无法在数据库上执行操作。

此外，只有当用户具有特殊角色并且仅由管理员或该用户本身进行编辑时，才可以添加新用户（如下所示）：

"userdata": {
  "$userId": {
    ".write": "$userId === auth.uid || root.child('/userdata/'+auth.uid+'/userRole').val() === 'superadmin'",
   ...

暴露 API 密钥不会带来安全风险，但任何人都可以将您的凭据放在他们的网站上。

开放 api 密钥会导致攻击，这些攻击可能会在 firebase 上占用大量资源，这肯定会花费您的辛勤资金。

您始终可以将 firebase 项目密钥限制为域/IP。

https://console.cloud.google.com/apis/credentials/key

选择您的项目 ID 和密钥，并将其限制为您的 Android/iOs/web 应用程序。

可以包含它们，并且仅在 Firebase ML 或使用 Firebase 身份验证时需要特别小心

Firebase 的 API 密钥与典型的 API 密钥不同：与通常使用 API 密钥的方式不同，Firebase 服务的 API 密钥不用于控制对后端资源的访问;这只能通过 Firebase 安全规则来完成。通常，您需要严格保护 API 密钥（例如，通过使用保管库服务或将密钥设置为环境变量）;但是，Firebase 服务的 API 密钥可以包含在代码或签入的配置文件中。

尽管 Firebase 服务的 API 密钥可以安全地包含在代码中，但在一些特定情况下，您应该对 API 密钥实施限制;例如，如果您使用的是 Firebase ML 或将 Firebase Authentication 与电子邮件/密码登录方法结合使用。在本页后面部分了解有关这些案例的更多信息。

有关更多信息，请查看官方文档

仅身份验证工作流程就遇到了类似的问题。如果您从前端在 firebase 中创建用户帐户，我会请您重新考虑这一点。如果您没有任何后端代码作为创建 firebase 用户的预触发器运行，用于检查用户是否来自您的应用，则应切换到从后端创建用户，并在管理控制台中停用所有注册/登录方法。由于后端服务帐户密钥与前端不同，因此它们不会公开，您可以通过自己喜欢的凭据管理器（环境变量等）来管理它们。如果您的主数据库不是 Firestore（许多大量使用 SQL 但需要 firebase 来实现某些实时功能的企业应用就是这种情况），并且您不需要用户的显式凭据即可直接登录 firebase，这也非常有用。在后端，可以使用以下方法创建自定义令牌

getAuth()
  .createCustomToken(uid)
  .then((customToken) => {
    // Send token back to client
  })
  .catch((error) => {
    console.log('Error creating custom token:', error);
  }); 

然后，可以将此自定义令牌传递给客户端，客户端可以使用 webSDK 登录到第一个

firebase.auth().signInWithCustomToken(customToken)
  .then((userCredential) => {
    // Signed in
    var user = userCredential.user;
    // ...
  })
  .catch((error) => {
    var errorCode = error.code;
    var errorMessage = error.message;
    // ...
  });

您仍然需要非常强大和全面的安全规则，以便访问是细粒度的，并且适用于 RBAC。但是，对我来说，问题在于使用客户端的 webSDK 配置密钥，用户可以创建一个帐户或登录我的 firebase 项目。但是，通过这种方式，可以确保用户在不通过您自己的后端的情况下无法创建帐户并登录。