firebase - 如何阻止 Firestore REST API 访问

Question

我有一个颤振应用程序并使用 firebase auth 和 firestore。 Firestore 中的数据只能从应用程序内部读取和写入。
我刚刚意识到，如果每个授权用户都有正确的身份验证 token (例如来自 AUTH rest api)和 API_KEY，则每个授权用户都可以通过 REST API 访问他在 Firestore 中的数据。据我了解，API_KEY is not private .
因此，即使我正确设置了安全规则，使用户只能读取和写入他的数据，他仍然可以通过 REST API 访问和更改数据。这可能会破坏我的数据模型，因为数据必须以特殊方式构建。
有没有办法只允许从应用程序内部访问 firestore 并阻止它进行 REST 调用？
为什么 Firebase API key 默认不受限制？
我是否应该像 here 中描述的那样限制只能由 Android APP 使用的 key ？ ?

Answer 1

您应该在安全规则中验证数据请求，以确保在所有情况下都遵守您的数据结构。
https://firebase.google.com/docs/rules/data-validation
至于 Rest API，不可能向外阻止或拒绝它，因为它作为公共(public) API 的一部分内置于 GCP 的核心中，但是，您可能对 App Check 感兴趣，它可以拒绝来自您的 Android/iOS/外部的请求网络应用
https://firebase.google.com/docs/app-check
它处于早期测试阶段，可以帮助解决对上述平台的不请自来的滥用。