Сканер правил Firebase: найдите открытые правила Firestore, Realtime Database и Storage

Как сканер находит открытые правила Firebase

Firebase services are reachable at predictable public addresses, so a scanner with no credentials can check each one the way an anonymous visitor would. FixVibe's Firebase check covers all three services independently:

• Firestore. FixVibe finds the project from the deployed app's own Firebase configuration and reports collections that anonymous visitors can read.
• Realtime Database. FixVibe reports a database whose data anonymous visitors can read — often the whole tree at once.
• Cloud Storage. FixVibe reports buckets that anonymous visitors can list. Listable storage is a finding even when individual downloads are denied, because it lets attackers find guessable filenames.

Как на самом деле выглядит подводный камень тестового режима

Документация быстрого старта Firebase включает один из самых копируемых блоков правил в интернете:

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if true;
    }
  }
}

Firebase раньше добавлял автоматический 30-дневный срок действия к этим правилам. Это изменилось: сегодня правила сохраняются навсегда, если разработчик их не заменит. ИИ-инструменты кодирования — обученные на годах документации, которая включает блок тестового режима — часто выдают его дословно и говорят разработчику «это ваше правило безопасности». Это не так.

Другие варианты, которые появляются в продакшене, но одинаково разрешающие:

// future-date variant — equivalent to "if true"
allow read, write: if request.time < timestamp.date(2099, 1, 1);

// authenticated-user variant — any signed-in user reads and writes anything
allow read: if true;
allow write: if request.auth != null;

// any-auth variant — any signed-in user owns every document
allow read, write: if request.auth != null;

• Вариант с будущей временной меткой: правило, которое позволяет всё до даты в далёком будущем. Никогда фактически не истекает (см. выделенный блок выше).
• allow read: if true; allow write: if request.auth != null; — публичные чтения, любой аутентифицированный пользователь может писать.
• allow read, write: if request.auth != null; — любой вошедший пользователь может читать или писать любой документ, включая данные других пользователей.

Что делать, когда сканер находит открытое правило

Открытые правила Firebase — это аварийная ситуация времени выполнения. Исправление имеет одну и ту же форму во всех трёх сервисах: ограничьте каждое правило request.auth.uid против явного поля владельца. Каждый сервис имеет свой синтаксис правил:

Firestore

match /users/{userId} { allow read, write: if request.auth != null && request.auth.uid == userId; }. Привязка сегмента пути {userId} становится единственным документом, к которому пользователь может прикоснуться.

match /users/{userId} {
  allow read, write: if request.auth != null
                     && request.auth.uid == userId;
}

База данных реального времени

{ "rules": { "users": { "$uid": { ".read": "$uid === auth.uid", ".write": "$uid === auth.uid" } } } }. Подстановочный знак $uid захватывает сегмент пути для сравнения.

{
  "rules": {
    "users": {
      "$uid": {
        ".read":  "$uid === auth.uid",
        ".write": "$uid === auth.uid"
      }
    }
  }
}

Облачное хранилище

service firebase.storage { match /b/{bucket}/o { match /users/{userId}/{allPaths=**} { allow read, write: if request.auth.uid == userId; } } }. Соглашение: храните файлы по адресу users/[uid]/[filename] и позвольте пути обеспечить владение.

service firebase.storage {
  match /b/{bucket}/o {
    match /users/{userId}/{allPaths=**} {
      allow read, write: if request.auth.uid == userId;
    }
  }
}

Deploy rules via the Firebase CLI: firebase deploy --only firestore:rules, firebase deploy --only database, firebase deploy --only storage. Verify the new rules are in production by re-running the FixVibe scan — the open-rules finding should clear.

firebase deploy --only firestore:rules
firebase deploy --only database
firebase deploy --only storage

Как это сравнивается с встроенными инструментами Firebase

Консоль Firebase показывает вам текущие правила, но не проверяет их относительно поведения времени выполнения. Симулятор правил Firebase позволяет тестировать логику правил против синтетических запросов — полезно, но локально. Ни один инструмент не говорит вам, что ваши продакшен-правила на самом деле возвращают анонимному злоумышленнику в публичном интернете. Внешний сканер вроде FixVibe (или Burp Suite с ручной конфигурацией) — это единственное, что зондирует с того же угла, с которого злоумышленник. Собственный App Check от Google смягчает злоупотребление, но не заменяет правильно ограниченные правила.

Часто задаваемые вопросы

Следующие шаги

Run a free FixVibe scan against your production URL — the Firebase rules check runs on every plan and flags open rules across Firestore, Realtime Database, and Cloud Storage. For a deeper explainer on the allow read, write: if true pattern specifically, see Firebase allow read, write: if true explained. For the umbrella view across Supabase, Firebase, Clerk, and Auth0, read BaaS misconfiguration scanner.