Firebase arauen eskanerra: aurkitu ireki dauden Firestore, Realtime Database eta Storage arauak

Nola aurkitzen dituen eskanerrak Firebase arau irekiak

Firebase zerbitzuek ezagunak eta aurreikus daitezkeen URL formak agerian uzten dituzte. Kredentzialik gabeko eskaner batek bakoitza miatu dezake eta irakurketa anonimoak ondo egiten diren ikusi. FixVibe baas.firebase-rules egiaztapena hiru froga independentetan exekutatzen da — Firebase zerbitzu bakoitzeko bat:

• <strong>Firestore.</strong> The scanner extracts the project ID from the deployed app's bundle (it's in <code>firebase.initializeApp({ projectId: ... })</code>), then issues <code>GET https://firestore.googleapis.com/v1/projects/[project-id]/databases/(default)/documents/[collection]:listDocuments</code> against common collection names. A <code>200 OK</code> with documents in the response means <code>allow read</code> is permissive.
• Realtime Database. Eskanerrak https://[project-id]-default-rtdb.firebaseio.com/.json miatzen du. Erroa anonimoki irakurgarria bada, erantzuna datu-base-zuhaitz osoa da JSON gisa. Froga kontserbadoreago batek .json?shallow=true kontsultatzen du, eta horrek goi-mailako gakoak baino ez ditu itzultzen — aurkikuntza bat edozein moduz.
• Cloud Storage. Eskanerrak https://firebasestorage.googleapis.com/v0/b/[project-id].appspot.com/o kontsultatzen du. Erantzunak fitxategi-izenak autentikaziorik gabe zerrendatzen baditu, ontzia anon-zerrendagarria da. Zerrendagarria den biltegiratzea aurkikuntza bat da, fitxategi indibidualen deskargak ukatuta egonik ere — erasotzaileek ontzia zenbatzen dute asmagarriak diren fitxategi-izenak aurkitzeko.

Test-mode hutsegitea zer itxura duen benetan

Firebase quickstart dokumentazioak interneteko kopiatuena diren arau-blokeetako bat barne hartzen du:

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if true;
    }
  }
}

Firebase-k arau hauei 30 eguneko iraungitze automatikoa gehitzen zien. Hori aldatu zen: gaur arauak betikoz irauten dute garatzaileak ordezten ez dituen bitartean. IA kodetze-tresnek — urteetako dokumentazio horretan test-mode blokea barne hartzen duten testu-zalduetan trebatuta — maiz hori literalki igortzen dute eta garatzaileari esaten diote "hori da zure segurtasun-araua". Ez da.

Ekoizpenean agertzen diren beste aldaerak baina berdin permisiboak direnak:

// future-date variant — equivalent to "if true"
allow read, write: if request.time < timestamp.date(2099, 1, 1);

// authenticated-user variant — any signed-in user reads and writes anything
allow read: if true;
allow write: if request.auth != null;

// any-auth variant — any signed-in user owns every document
allow read, write: if request.auth != null;

• Etorkizuneko data-zigiluaren aldaera: etorkizun urruneko data batera arte dena baimentzen duen araua. Eraginkortasunez inoiz ez du iraungitzen (ikus goian nabarmendutako blokea).
• allow read: if true; allow write: if request.auth != null; — irakurketa publikoak, edozein autentikatutako erabiltzailek idatzi dezake.
• allow read, write: if request.auth != null; — saio hasi duen edozein erabiltzailek edozein dokumentu irakur edo idatz dezake, beste erabiltzaileen datuak barne.

Eskanerrak arau ireki bat aurkitzen duenean zer egin

Firebase arau irekiak exekuzio-larrialdia dira. Konponketa hiru zerbitzuetan zehar berdina da: arau bakoitza request.auth.uid-ra mugatu jabe-eremu esplizitu baten aurka. Zerbitzu bakoitzak bere arau-sintaxia du:

Firestore

match /users/{userId} { allow read, write: if request.auth != null && request.auth.uid == userId; }. Bide-segmentuaren lotura {userId} erabiltzaileak uki dezakeen dokumentu bakarra bihurtzen da.

match /users/{userId} {
  allow read, write: if request.auth != null
                     && request.auth.uid == userId;
}

Realtime Database

<code>{ "rules": { "users": { "$uid": { ".read": "$uid === auth.uid", ".write": "$uid === auth.uid" } } } }</code>. The <code>$uid</code> wildcard captures the path segment for comparison.

{
  "rules": {
    "users": {
      "$uid": {
        ".read":  "$uid === auth.uid",
        ".write": "$uid === auth.uid"
      }
    }
  }
}

Cloud Storage

service firebase.storage { match /b/{bucket}/o { match /users/{userId}/{allPaths=**} { allow read, write: if request.auth.uid == userId; } } }. Konbentzioa: fitxategiak users/[uid]/[filename] azpian gorde eta utzi bideari jabetza betearaztea.

service firebase.storage {
  match /b/{bucket}/o {
    match /users/{userId}/{allPaths=**} {
      allow read, write: if request.auth.uid == userId;
    }
  }
}

Zabaldu arauak Firebase CLI bidez: firebase deploy --only firestore:rules, firebase deploy --only database, firebase deploy --only storage. Egiaztatu arau berriak ekoizpenean daudela FixVibe eskaneatzea berriz exekutatuz — baas.firebase-rules aurkikuntzak garbitu beharko luke.

firebase deploy --only firestore:rules
firebase deploy --only database
firebase deploy --only storage

Hau Firebase-ko barne-tresnekin nola alderatzen den

Firebase Console-k uneko arauak erakusten dizkizu baina ez ditu auditatzen exekuzio-jokabidearen aurka. Firebase Rules simulagailuak arau-logikoa proba dezakezu eskaera sintetikoen aurka — erabilgarria baina lokala. Tresna horietako bat ere ez dizu esaten zure ekoizpen-arauek zer benetan itzultzen dieten interneteko publiko anonimo eraso egileari. FixVibe bezalako kanpoko eskaner bat (edo eskuzko konfigurazioarekin Burp Suite) erasotzaile batek hartuko lukeen angelu beretik miatzen duen gauza bakarra da. Google-ren App Check abusua arintzen du baina ez du ordezten ondo mugatutako arauak.

Maiz egiten diren galderak

Hurrengo urratsak

Egin FixVibe eskaneatze doako bat zure ekoizpen-URLaren aurka — baas.firebase-rules egiaztapena plan guztietan bidaltzen da eta arau irekiak markatzen ditu Firestore, Realtime Database eta Cloud Storage-en zehar. allow read, write: if true ereduari buruzko azalpen sakonagoa zehazki ikusteko, ikus Firebase allow read, write: if true azaldua. Supabase, Firebase, Clerk eta Auth0-ren ikuspegi orokorra ikusteko, irakurri BaaS konfigurazio okerren eskanerra.