firebase - auth.uid 是共享 secret 吗？

Question

例如，当有人通过 oAuth 进行身份验证时，Firebase 会创建一个类似于 google:111413554342829501512 的 uid。

在 Firebase 规则中，您可以执行以下操作(读取和/或写入):

".read": "root.child('users').child(auth.uid).child('isAdmin').val() == true"

是否假设由于使用了 HTTPS，我无法通过嗅探网络来读取消息？这是它的工作原理吗 - UID 是 Firebase 规则使用的共享 key ？

经过身份验证后，我在浏览器的本地存储中的 firebase:session::ack 中看到该 UID。

Answer 1

知道某人的用户 ID 不会带来安全风险。

例如，我知道您的 Stack Overflow 用户 ID 是 4797603。仅凭这一事实，我就有可能在 Stack Overflow 上找到您。

但它无论如何都不允许我假装我是罗恩·罗伊斯顿。要执行后者，我需要知道您用于登录的用户名和密码(以及任何其他因素)。

这同样适用于 Firebase。如果您知道我在某些 Firebase 支持的应用程序中的 uid 是 google:105913491982570113897，您就无法突然冒充我。 Firebase 服务器验证 auth.uid 值是否基于该用户的实际凭据。唯一的方法是以我的身份登录，在这种情况下，您需要知道我的 Google 凭据。