Scanóir rialacha Firebase: aimsigh rialacha oscailte Firestore, Realtime Database, agus Storage

Conas a aimsíonn an scanóir rialacha Firebase oscailte

Nochtann seirbhísí Firebase cruthanna URL aitheanta intuartha. Is féidir le scanóir gan dintiúir gach ceann acu a phromhadh agus a thabhairt faoi deara an n-éiríonn le léamha gan ainm. Ritheann an seic baas.firebase-rules de chuid FixVibe i dtrí phromhadh neamhspleácha — ceann in aghaidh seirbhíse Firebase:

• <strong>Firestore.</strong> The scanner extracts the project ID from the deployed app's bundle (it's in <code>firebase.initializeApp({ projectId: ... })</code>), then issues <code>GET https://firestore.googleapis.com/v1/projects/[project-id]/databases/(default)/documents/[collection]:listDocuments</code> against common collection names. A <code>200 OK</code> with documents in the response means <code>allow read</code> is permissive.
• Realtime Database. Déanann an scanóir promhadh ar https://[project-id]-default-rtdb.firebaseio.com/.json. Má tá an fhréamh inléite go gan ainm, is é an freagra crann iomlán an bhunachair shonraí mar JSON. Iarrann tástáil níos coimeádaí .json?shallow=true, a fhilleann eochracha ardleibhéil amháin — is toradh é cibé bealach.
• Cloud Storage. Déanann an scanóir ceist ar https://firebasestorage.googleapis.com/v0/b/[project-id].appspot.com/o. Má liostálann an freagra ainmneacha comhad gan fhíordheimhniú, tá an buicéad inliostáilte gan ainm. Is toradh é stóras inliostáilte fiú nuair a dhiúltaítear íoslódálacha comhad aonair — áirimh ionsaitheoirí an buicéad chun ainmneacha comhad in-thomhaiste a fháil.

Cén chuma atá ar an gcosfhostaíocht mód-tástála i ndáiríre

Áirítear i ndoiciméadúchán luas-tús Firebase ceann de na bloic rialach is mó a chóipeáiltear ar an idirlíon:

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if true;
    }
  }
}

Chuireadh Firebase éag uathoibríoch 30-lá leis na rialacha sin. D'athraigh sé sin: inniu maireann na rialacha go deo mura gcuireann an forbróir in ionad iad. Astálann uirlisí códaithe AI — atá oilte ar bhlianta de dhoiciméadúchán a chuimsíonn an bloc mód-tástála — go minic é focal ar fhocal agus insíonn siad don fhorbróir "is é seo do riail slándála." Ní hí.

Athraitheanna eile a thaispeánann sa táirgeadh ach atá ceadaitheach mar an gcéanna:

// future-date variant — equivalent to "if true"
allow read, write: if request.time < timestamp.date(2099, 1, 1);

// authenticated-user variant — any signed-in user reads and writes anything
allow read: if true;
allow write: if request.auth != null;

// any-auth variant — any signed-in user owns every document
allow read, write: if request.auth != null;

• Athraitheach stampa-ama todhchaí: riail a cheadaíonn gach rud go dtí dáta i bhfad amach anseo. Ní éagann sé go héifeachtach riamh (féach an bloc aibhsithe thuas).
• allow read: if true; allow write: if request.auth != null; — léamha poiblí, is féidir le haon úsáideoir fíordheimhnithe scríobh.
• allow read, write: if request.auth != null; — is féidir le haon úsáideoir sínithe isteach aon doiciméad a léamh nó a scríobh, lena n-áirítear sonraí úsáideoirí eile.

Cad ba chóir a dhéanamh nuair a aimsíonn an scanóir riail oscailte

Is éigeandáil ama rite rialacha Firebase oscailte. Tá an cruth céanna ag an réiteach thar na trí sheirbhís: scóp gach riail le request.auth.uid in aghaidh réimse úinéireachta sainráite. Tá comhréir riala dá chuid féin ag gach seirbhís:

Firestore

match /users/{userId} { allow read, write: if request.auth != null && request.auth.uid == userId; }. Éiríonn an ceangal de mhír cosáin {userId} ina aon doiciméad amháin is féidir leis an úsáideoir bualadh leis.

match /users/{userId} {
  allow read, write: if request.auth != null
                     && request.auth.uid == userId;
}

Realtime Database

<code>{ "rules": { "users": { "$uid": { ".read": "$uid === auth.uid", ".write": "$uid === auth.uid" } } } }</code>. The <code>$uid</code> wildcard captures the path segment for comparison.

{
  "rules": {
    "users": {
      "$uid": {
        ".read":  "$uid === auth.uid",
        ".write": "$uid === auth.uid"
      }
    }
  }
}

Cloud Storage

service firebase.storage { match /b/{bucket}/o { match /users/{userId}/{allPaths=**} { allow read, write: if request.auth.uid == userId; } } }. Coinbhinsiún: stóráil comhaid faoi users/[uid]/[filename] agus lig don chosán úinéireacht a fhorghníomhú.

service firebase.storage {
  match /b/{bucket}/o {
    match /users/{userId}/{allPaths=**} {
      allow read, write: if request.auth.uid == userId;
    }
  }
}

Imscar rialacha tríd an Firebase CLI: firebase deploy --only firestore:rules, firebase deploy --only database, firebase deploy --only storage. Fíoraigh go bhfuil na rialacha nua i dtáirgeadh trí scanadh FixVibe a athrith — ba chóir don toradh baas.firebase-rules glanadh.

firebase deploy --only firestore:rules
firebase deploy --only database
firebase deploy --only storage

Conas a chuireann sé seo i gcomparáid le huirlisí ionsuite Firebase

Taispeánann Consól Firebase na rialacha reatha duit ach ní dhéanann sé iniúchadh orthu in aghaidh iompair ama rite. Ligeann ionsamhlóir Rialacha Firebase duit loighic rialach a thástáil in aghaidh iarratas sintéiseach — úsáideach ach áitiúil. Ní insíonn ceachtar uirlis duit cad a fhilleann do rialacha táirgthe i ndáiríre ar ionsaitheoir gan ainm ar an idirlíon poiblí. Is é scanóir seachtrach mar FixVibe (nó Burp Suite le cumraíocht láimhe) an t-aon rud a dhéanann promhadh ón uillinn chéanna a dhéanfadh ionsaitheoir. Maolaíonn App Check Google féin mí-úsáid ach ní chuireann sé in ionad rialacha le scóp ceart.

Ceisteanna coitianta

Na chéad chéimeanna eile

Rith scanadh FixVibe saor in aisce in aghaidh do URL táirgthe — seoltar an seic baas.firebase-rules ar gach plean agus cuireann sé bratach ar rialacha oscailte thar Firestore, Realtime Database, agus Cloud Storage. Le haghaidh míniúchán níos doimhne ar an bpatrún allow read, write: if true go sonrach, féach Riail Firebase allow read, write: if true mínithe. Le haghaidh an radhairc scáth ar fud Supabase, Firebase, Clerk, agus Auth0, léigh Scanóir míchumraíochta BaaS.