FixVibe
Covered by FixVibehigh

Firebase Seerota Nageenyaa: Saaxila Deetaa Hayyama Hin Qabne Ittisuu

jedhamuun beekama ZXCVFIXVIBESEG2 Firebase Seerotni Nageenyaa ittisa jalqabaa aplikeeshiniiwwan sarvarii hin qabneef Firestore fi Cloud Storage fayyadamaniif. Yeroo seerotni kun garmalee hayyamaman, kan akka oomisha keessatti dubbisa ykn barreessuu addunyaa irratti qaqqabummaa hayyamuu, haleellaan loojikii aplikeeshinii yaadame bira darbuun deetaa miiraa hatuu ykn haquu danda'u. Qorannoon kun qindeessuu dogoggoraa beekamaa, balaa durtii 'haala qormaataa', fi akkaataa to'annoo qaqqabummaa eenyummaa irratti hundaa'e hojiirra oolchuu qorata.

CWE-284CWE-863

jedhamuun beekama ZXCVFIXVIBESEG3 Firebase Seerotni Nageenyaa mala granular, server-dirqisiifame kan deetaa Firestore, Realtime Database, fi Cloud Storage [S1] keessatti eeguuf kenna. Sababni isaas, aplikeeshiniiwwan Firebase yeroo baayyee tajaajiloota duumessaa kana waliin kallattiin gama maamilaa irraa waan walqunnamaniif, seerotni kun danqaa tokkicha hayyama malee deetaa duubaa [S1] akka hin seenne dhorku bakka bu'u.

jedhamuun beekama ZXCVFIXVIBESEG4

Dhiibbaa Seerota Hayyamaa

jedhamuun beekama ZXCVFIXVIBESEG5 Seerotni dogoggoraan qindaa'an saaxilamummaa deetaa guddaa fiduu danda'u [S2]. Yoo seerotni garmalee hayyamamaniif qindaa'an-fakkeenyaaf, qindaa'inoota durtii 'haala qormaataa' kanneen qaqqabummaa waliigalaa hayyamu fayyadamuun-fayyadamaan kamiyyuu beekumsa ID pirojektii qabu qabiyyee kuusdeetaa guutuu dubbisuu, fooyyessuu, ykn haquu danda'a [S2]. Kunis tarkaanfiiwwan nageenyaa gama maamilaa hunda bira darbee odeeffannoo fayyadamaa miira namaa kakaasu dhabuu ykn addaan cituu tajaajila waliigalaa [S2] fiduu danda'a.

jedhamuun beekama ZXCVFIXVIBESEG6

Hundee Sababni: Loojikii Hayyama Ga'aa Hin Taane

jedhamuun beekama ZXCVFIXVIBESEG7 Hundeen balaawwan kanaa akkaataa adda addaatiin haalawwan addaa kanneen eenyummaa fayyadamaa ykn amaloota qabeenya [S3] irratti hundaa'uun qaqqabummaa daangessan hojiirra oolchuu dhabuudha. Developers yeroo baayyee qindeessootni durtii naannoo oomishaa keessatti socho'aa dhiisu kanneen wanta request.auth wanta [S3] hin mirkaneessine. request.auth osoo hin madaalin, sirnichi fayyadamaa seera qabeessa mirkanaa'ee fi gaafataa maqaa hin qabne [S3] adda baasuu hin danda'u.

jedhamuun beekama ZXCVFIXVIBESEG8

Sirreeffama Teeknikaa

jedhamuun beekama ZXCVFIXVIBESEG9 Naannoo Firebase eeguun qaqqabummaa banaa irraa gara moodeela ijoo-mirga xiqqaatti ce'uu gaafata.

jedhamuun beekama ZXCVFIXVIBESEG10 irratti kan argamu

  • Mirkaneessuu Dirqisiisi: Daandiiwwan miiraa hunduu turtii fayyadamaa sirrii akka barbaadan mirkaneessi yoo wanti request.auth null [S3] hin taane sakatta'uudhaan.

jedhamuun beekama ZXCVFIXVIBESEG11

  • Qabeenya Eenyummaa irratti Hundaa'e Hojiirra Oolchuu: Fayyadamtoonni deetaa mataa isaanii qofa argachuu akka danda'an mirkaneessuuf seerota UID fayyadamaa (request.auth.uid) dirree galmee keessa jiru ykn ID galmee ofii isaa wajjin walbira qaban qindeessuu.

jedhamuun beekama ZXCVFIXVIBESEG12 irratti kan argamu

  • Granular Permission Scoping: Walitti qabamaaf kaardii bakka bu'aa addunyaa irraa fagaadhu. Inumaayyuu, tokkoon tokkoo walitti qabama fi walitti qabama xiqqaadhaaf seera addaa ibsi, kunis fuula haleellaa ta'uu danda'u xiqqeessuu [S2].

jedhamuun beekama ZXCVFIXVIBESEG13

  • Mirkaneessuu karaa Emulator Suite: Seerota nageenyaa naannootti qorachuuf Firebase Emulator Suite fayyadami. Kunis gara naannoo jiraataa [S2]tti bobbaasuu dura loojikii to'annoo qaqqabummaa namoota fayyadamaa adda addaa irratti mirkaneessuuf hayyama.

jedhamuun beekama ZXCVFIXVIBESEG14

Akkamitti FixVibe itti qorata

FixVibe amma kana akka dubbisa qofaatti BaaS scan of keessatti hammata. baas.firebase-rules qindeessaa Firebase qindeessaa JaavaScript ka'umsa walfakkaataa irraa baasa, boca baandaa ammayyaa initializeApp(...) dabalatee, sana booda Kuusaa Deetaa Yeroo Dhugaa, Kuusaa Ibiddaa, fi Kuusaa Firebase dubbisa-irratti hin eegamne waliin sakatta'a gaaffii dhiyeessan. Firestore'f, jalqaba tarree walitti qabama hundee yaala; yeroo tarreen ugguramu, akkasumas maqaa walitti qabama miiraa waliigalaa kan akka users, accounts, customers, orders, payments, . messages, admin, fi settings. Dubbisa ykn tarreefama maqaa hin beekamne milkaa'e qofa gabaasa malee qabiyyee sanada maamilaa hin barreessu, hin haqu, ykn hin kuusu.