android - 具有客户端/应用身份验证而不是用户身份验证的 Firebase Android 应用

Question

我的应用没有个人用户，而是有一些由客户生成的数据，其他人可以看到，比如公共(public)聊天 channel ，用户名也是临时的。

我不需要对每个用户帐户数据进行身份验证。相反，如果请求来自我的应用程序，则应该提供，否则不提供。我看到有用户身份验证，但这意味着我必须跟踪 uid 等，这也增加了数据存储，其他选项是如果我删除身份验证(设置读/写公共(public))并从我的应用程序调用数据更改。

我可以在我的 android 应用程序中使用服务器使用的应用程序 secret 功能吗？如果可以，如何使用？这是服务器的规则:

{
  "rules": {
    ".read": true,
    ".write": "auth.uid = 'myserver'"
  }
}

如何使它适用于我的 android 应用程序？

当只有我知道 url 并且只有我的包是从服务器上的 android 应用程序选项配置时，我的应用程序在没有身份验证(设置读/写公共(public))的情况下如何不安全？

除了用户身份验证之外，还有什么方法可以保证数据安全吗？

Answer 1

我知道你问这个问题已经有几年了，但我想让你知道，现在终于可以做到了。
感谢一个名为 Firebase App Check 的新功能，现在实际上可以将对实时数据库的调用限制为仅来自在 Firebase 项目中注册的 iOS、Android 和 Web 应用程序的请求。
您通常希望将此与安全规则提供的基于用户身份验证的安全性结合起来，以便用户只能做他们被授权做的事情。但是在您的情况下，仅 App Check 可能/已经足够了。