angular - 如何处理 google firebase 网络应用程序安全性？

Question

如果我将 Firebase 和 Firestore 与 Angular 网络应用程序一起使用，我该如何限制对我的 Firebase 资源的访问，以便无法从我的 Angular 应用程序外部访问它们？

主要的漏洞似乎是我的 Firebase 配置暴露在 Angular 代码中。我想消除恶意开发人员获取此配置并开发某些机器人或黑客应用程序的能力。

Answer 1

您可能希望在两者之间创建一种层(例如 REST API)，其中配置仅存储在您的服务器上。因此，客户端只能访问该 REST API，因此没有机会查看您的配置中的内容!

---

文档指出 Firebase 有多种语言的绑定(bind)，例如:

• Java/ Kotlin
• Swift/Obj-C
• C++
• JavaScript

有关更多详细信息，请查看 here .

---

此外，我认为我想出的这个 REST 层似乎并不是一件尴尬或不常见的事情，因为有一篇非常好的文章 here在官方文档上。

---

总而言之，您最好的选择是真正构建您自己的 REST API。如果 e，您很可能仍会收到 Firebase 在您的服务器上的通知。 G。然而，一个事件发生了，通知客户端将不再由 Firebase 完成，而是由您的服务器完成(例如，这可以使用 WebSockets 实现)。

这些只是想法，所以我不是很确定。也许 Firebase 仍然可以通知您的客户，您将不需要任何 WebSocket。

在框架方面，您有很多选择。唯一真正重要的是，框架的核心语言确实是许多 Firebase 实现(Java、JS、Kotlin、C++、Swift 等)所支持的语言。

我建议你看看下面的标准和框架，然后选择你最喜欢的:

• Node.js/Express.js
• Spring Boot(如果您不喜欢自动配置，则使用 Spring MVC)
• JAX-RS(JavaEE 标准)

---

编辑:然而

我认为构建一个 REST API 只是为了克服可能的安全问题似乎是将所有事情都做两次(创建 REST 资源，只是为了调用另一个 Google API)。我不想反对 Firebase，因为事件驱动架构非常热门，但如果您正在构建 API，那么可能会创建您自己的数据库实例 (对于您的社交网络案例，NoSQL 似乎更合适) 会更合理一些。但同样，我只是分享我的想法:)