reactjs - 在 React 应用程序中保护 Firebase API key 使其无法公开访问的最佳方法是什么？

Question

这个问题在这里已经有了答案:





Is it safe to expose Firebase apiKey to the public?

(10 个回答)


去年关闭。




我目前有一个使用 Firebase 身份验证的 React 应用程序，并使用 Firestore 作为数据库。

我目前使用亚马逊的 Amplify 服务部署了该应用程序。我的 Firebase API key ，包括数据库 URL 和 firebase 应用程序 ID，都作为环境变量添加到 AWS 控制台中。

当我检查公共(public)包时，我可以看到所有 API key 都是公共(public)的。

我的问题是:

这听起来对吗？

是否有处理这种情况的最佳实践？

我是否需要构建一个后端来处理这个问题？

Answer 1

您的 API key 、数据库 URL、应用程序 ID 等都是公开的。

根据firebase docs :

The content is considered public, including your platform-specific ID (entered in the Firebase console setup workflow) and values that are specific to your Firebase project, like your API Key, Realtime Database URL, and Storage bucket name. Given this, use security rules to protect your data and files in Realtime Database, Cloud Firestore, and Cloud Storage.

您旨在确保与 firebase 的连接安全的方法是使用 security rules .您可以添加自定义规则以确保您的数据库安全。

例如:您可以确保只有 userId 12345 有权创建、读取、更新和删除 userId12345 的记录。