W jaki sposób zapobiegasz włamaniom do konsol po stronie klienta w aplikacjach sieci Web firebase?

Question

Uświadomiłem sobie, że przy tak dużej ilości logiki po stronie klienta złośliwi użytkownicy mogą podszywać się, zastępować lub uruchamiać aplikacje Firebase za pomocą konsoli w dowolnej przeglądarce.

Na przykład mogę wpisać $ ("flaga"). Kliknij() i trzema suwakami oznacz, że każdy wpis jest nieaktualny w mojej aplikacji.

Każda logika obronna, którą piszę, będzie dostępna dla każdego, kto chce ją złamać.

Jak sobie z tym poradziłeś? Czy jest w pobliżu praca?

Answer 1

W rzeczywistości Firebase nie różni się od innych procesów serwera pod względem bezpieczeństwa. Każdy może otworzyć konsolę JavaScript w dowolnej witrynie (lub napisać własną stronę HTML lub uruchomić curl z wiersza poleceń), aby spróbować manipulować danymi.

Firebase obsługuje klientów za pomocą prostego, ale zaskakująco silnego kodu: security rules. Połącz ze schematem uwierzytelniania, a możesz ograniczyć dostęp do wszystkich przychodzących danych i je potwierdzić przy minimalnym wysiłku.

{ 
    "rules": { 
     // widgetName must be a string 
     "widgetName: { ".validate": "newData.isString()" }, 

     // user accounts can only be read by the authenticated client 
     "users": { 
      "$user_id": { 
       ".read": "$user_id === auth.id" 
      } 
     } 
    } 
} 

Answer 2

Zasady Firebase to tak naprawdę nowe podejście do tworzenia stron internetowych. Możesz zbudować dowolną aplikację internetową, korzystając z reguł. Nie umieszczę tutaj kodu zasad, ale wyjaśnię, co mam na myśli. Na przykład. Chcesz zbudować aplikację do nauki. używając reguł, możesz utworzyć dwie lub trzy role dla użytkowników. Następnie dla każdej zawartości można umieścić pole (na przykład tablicę) i sprawdzić dla każdego żądania, czy użytkownik requestera po uwierzytelnieniu ma rolę do uzyskania dostępu do niektórych treści. Myślę, że wszystkie CMS działają teraz w ten sposób.

Mam nadzieję, że da to więcej pomysłów na platformie Firebase.