javascript - Firebase Twitter 身份验证和跨站点脚本

Question

我已经在我的 firebase 应用程序上实现了“twitter 身份验证”。如此处所述: https://www.firebase.com/docs/web/guide/login/twitter.html

效果非常好。

用户登录后，他还可以使用 XMLHttpRequest 向我的域发送一些请求。

当我发送 XMLHttpRequest 的有效负载时，我倾向于通过 javascript 传递“用户名”。

我刚刚意识到，使用“Chrome 开发工具”的人可以拦截该内容并篡改我的用户名。

有办法解决这个问题吗？

================================================== ===================

示例:想象一下我的网站在这里运行:

www.example.com/

它提供一个包含大量 JavaScript 的静态页面 index.html该页面使用 firebase api 并允许人们通过 twitter(或 github)进行身份验证。现在假设一个人(已登录)想要发布一些内容。我目前正在这样实现: https://www.example.com/writeComment?comment=hello&username=jeff&provider=github

我担心的是，登录并不能避免有人乱搞 Chrome 控制台并更改用户名。

Answer 1

没有什么问题需要解决。这并没有什么问题。除非您在客户端和 API 之间来回发送 protected 数据，否则您需要 SSL。

请记住，客户端完全由支持 CORS 的 API 驱动现在已成为常态。安全地处理数据取决于实现团队。

在 Firebase 服务本身的上下文中:

Firebase handles many other security details for you. Specifically, we use strong 2048 bit keys for our SSL certificates, sign authentication tokens with SHA256 HMAC signatures, and use BCrypt for password storage.

https://www.firebase.com/docs/security/quickstart.html