ios - 如何配置 iOS 应用程序 (Swift) 以使用数据库 secret 访问数据库？

Question

我正在构建一个 iOS 应用并使用 Firebase 数据库作为后端。该应用程序没有任何用户。下载该应用程序的任何用户都应该有权访问 Firebase 后端(某些功能要求我访问后端以进行读写)。然而，我不想公开这个火力点。目前，我设置 Firebase 安全规则的方式如下:

{
  "rules": {
    ".read": "auth == null",
    ".write": "auth == null"
  }
}

显然，这会带来安全问题!同样，我没有任何“用户”来创建 auth uid 来使其成为更安全的数据库。

我想要的是:

• 下载 iOS 应用的用户可以访问后端。任何人基本上都可以在后端“读”或“写”。
• 没有其他人可以访问数据库。

有没有办法做到这一点？我知道在非 iOS 环境中只需使用 Database Secrets 就可以了，但我该如何为 iOS 应用程序执行此操作？

Answer 1

你不能!

好的，您可能正在寻找比这更详尽的解释:

1. 我们不提供任何允许您在客户端上附带数据库 secret 的解决方案，因为坦率地说，对于不良行为者来说，从客户端提取这些值是相当微不足道的。

2. 此外，“好吧，我们只允许 iOS 客户端访问我的数据的任何部分”是一个非常糟糕的安全漏洞，因为有人很容易干扰他们的客户端并让它做你想要的事情无意这样做。 (或者创建他们自己的客户端，让它看起来像一个有效的 iOS 设备，然后让它在数据库端做各种坏事。)

作为一般规则，您希望实现安全规则，就好像传入的任何客户端请求都可能是不可信的。这可能意味着添加比您最初预期的更复杂的安全规则，但从长远来看，您会过得更好。