firebase - 是否有可能破解和更新 firebase 实时数据库数据

Question

最近我使用 Firebase 构建了一个应用程序，但是在我通过广告获得了一些用户之后，有人刚刚入侵了 Firebase 数据库并更新了所有用户数据，例如 .用户名个人资料图片路径

他们将其设置为一个糟糕的词和糟糕的图片。

然后我还检查了 Firebase 规则并重新定义了它们..

喜欢

只有经过身份验证的用户才能读/写。

但问题是。

黑客仍在更新 firebase db 上的值。

我想知道我错过了什么。

是否可以在没有整个安全 key 和其他东西的情况下更新 Firebase 数据库？使用浏览器可能是？

单个用户的用户数据...

电子邮件:“https://m.me.developer.scg”最后一次:“1617987743”图片:“https://www.dropbox.com/s/03a50cx4adxqepk/(网址不能公开发布，它包含裸体图片)”隐私:“PU”状态:“离线”状态:“让我们看一些电影”输入:“免费用户”用户名:“FU*KED BY DreamPLAY”

黑客在这里更新了 3 个字段。电子邮件 :图片:用户名:

Answer 1

您必须知道，一旦 (1) 有人拥有您的 Firebase 项目的 apiKey 并且 (2) 启用了电子邮件/密码登录方法，此人就可以使用 Firebase Auth REST API和 sign-up to your project (即创建一个新帐户)。

如果您部署链接到您的 Firebase 项目(Android、iOS、Web...)的应用程序，获取 apiKey 并不难。

因此，仅基于 auth != null 的规则允许通过 REST API 注册的任何人访问您的实时数据库。无需使用任何 GUI:通过 Auth REST API 识别后，用户可以使用 RTDB REST API .

避免“非所需”用户访问数据的一种经典方法是向所需帐户添加一个或多个自定义声明，并在安全规则中使用这些声明:参见 doc了解更多详情。