firebase - 在 URL 中发送访问令牌是否安全？Firebase 实时数据库 REST API

Question

我在客户端使用 Firebase 实时数据库休息 API。我注意到您需要在 URL 上发送访问令牌，并且此信息会在请求中公开。

这是使用 REST API 的安全方式吗？是否有另一种更安全的方法来实现这一点？

这是文档：https ://firebase.google.com/docs/reference/rest/database#section-param-auth

标签： firebaserestfirebase-realtime-database

Answer 1

当您在用于 API 的 URL 前面看到“https”时，这意味着数据已加密且无法被截获。因此，与查询一起传递数据不应构成安全问题，因为有人可以访问您的密钥。

但是，如果您发布了一个包含密钥的客户端应用程序，那么您基本上是把它交给任何拥有您的应用程序的人，因为有人总是有可能对您的应用程序进行逆向工程并访问其中的所有数据。为避免这种情况，您应该使用 Firebase 身份验证和安全规则来确定谁可以访问您的数据库中的数据。