javascript - 您如何使用安全规则来防止用户伪造 Firebase.ServerValue.TIMESTAMP？

Question

我的应用需要可靠的时间戳值来创建新记录。我正在使用 Firebase.ServerValue.TIMESTAMP 来确保这一点。这是我的代码:

var ref = new Firebase("https://test-firebase-please-ignore.firebaseio.com/foo");
ref.set(Firebase.ServerValue.TIMESTAMP);

或在 REST 中:

$ curl -X PUT -d '{"foo":{".sv":"timestamp"}}' \
  https://test-firebase-please-ignore.firebaseio.com/.json 

如何防止滥用用户制作看似有效但实际上是过去或 future 的虚假时间戳的请求？这是他们可能使用的代码:

var ref = new Firebase("https://test-firebase-please-ignore.firebaseio.com/foo);
ref.set(1408643272324); //A timestamp in the past

Answer 1

您可以使用 .validate 强制执行此操作规则和 now内置变量。

这是执行此操作的安全规则:

{
    "rules": {
        ".read": true,
        ".write": true,
        "foo" : {
          ".validate": "newData.val() == now"
          }
    }
}

您可以使用带有这些 cURL 命令的 REST API 来验证它。首先是负面案例:

$ curl -X PUT -d '{"foo":"1408638610143"}' \
https://test-firebase-please-ignore.firebaseio.com/.json

{
  "error" : "Permission denied"
}

然后是一个积极的案例:

$  curl -X PUT -d '{"foo":{".sv":"timestamp"}}' \
https://test-firebase-please-ignore.firebaseio.com/.json

{"foo":1408638609500}