firebase - 无需身份验证即可保护 Firebase 功能

Question

是否可以在没有身份验证的情况下保护 firebase http 触发功能并仅接受来自我的 firebase 托管应用程序的呼叫？

我希望我的网络应用程序能够使用未经身份验证的用户调用 firebase 函数，但我不希望从其他任何地方都可以访问这些函数。

标签： firebasegoogle-cloud-functionsfirebase-hosting

Answer 1

这是不可能强制执行的。所有其他客户端都可以访问您的所有 HTTP 功能，无论它们在世界的哪个地方（除非他们的网络中的某些东西阻止了它们）。

您当然可以尝试猜测请求是否来自您的网站（通过查看引荐来源标头），但该信息很容易被攻击者欺骗。