javascript - Firebase 公共(public)用户访问限制和防止恶意攻击

Question

我想创建一个单页应用程序，公共(public)用户可以上传照片，任何访问该网站的人都可以喜欢/不喜欢这些照片。我正在使用 Firebase 数据库和存储。

我的问题是如何避免任何恶意事件，例如通过脚本添加图像并为它们点赞？我可以限制访问或使用 CSRF token 吗？还是避免此类攻击的唯一方法是对用户进行身份验证？

Answer 1

您可以将客户端的 ip 连同时间戳散列到 Firebase 本身的查找表中，并使用 cloud fn 中的规则或逻辑来确保您不会从同一个地方受到攻击。第一选择不会增加任何成本，但限制更多；第二个选择意味着您为每个插入运行一个函数，但可以运行更精细的防御。

也许您可以使用 Firestore 做一些更有用的事情？对于它所缺少的所有东西，规则系统更加健壮。

但是，我建议，如果您当前没有或紧迫的垃圾邮件问题，请不要尝试首先解决这个问题:不要考虑在 build 棚屋之前粉刷棚屋。