firebase - Firebase 域白名单如何在幕后工作以使其万无一失？

Question

如何Firebase domain whitelisting在幕后工作以使其万无一失？
需要明确的是，我不是在尝试在 Firebase 控制台中配置我的域(我知道该怎么做)，而是尝试在我的服务器端构建一些类似的源域验证 - API 代码。 Firebase 使用什么网络标准来确保只有授权域才能调用 API，因为 API token 是公开的。

如果有人使用非浏览器 HTTP 客户端，并使用我的应用程序的 API token 伪造的源域 header 怎么办？我认为 Firebase 会考虑过这种情况及其涵盖的范围。试图了解它是如何万无一失的。

Answer 1

我的猜测是它不是万无一失的，而是限制了某些情况下的用例。

您可以在 CORS 相关 header 中使用此类列入白名单的域，这将阻止现代浏览器的某些操作。

列入白名单的域还可以与身份验证一起使用，以确保登录后重定向到您的域。

理论上你可以去查看Referer header ，但许多浏览器出于安全/隐私目的不提供它，因此这将是一个糟糕的选择。

至于 firebase，因为在没有库的情况下很难使用 firebase，所以库可以只将当前 url 提供给服务器，并防止来自未列出域的任何操作。这绝不是万无一失的。

What if someone uses non-browser HTTP client with source domain headers faked with the API token of my app? I assume Firebase would've thought about such case and its covered.

我认为你的假设是错误的。客户端是不安全的，任何请求都可以伪造。最终它是一个发送到服务器的数据包，如果您控制发送方，您就可以控制数据包的内容。

如果我们监控客户端和 Firebase 之间的连接，我们就可以找到一种从另一个(浏览器外)进程执行相同任务的方法。