firebase - 私人产品的 Firebase 电话身份验证

Question

我有一个私人产品，我使用 Firestore 来存储我的数据。我想为我的用户传达最多信息，所以我决定使用 Firebase 电话号码身份验证。但问题是每个知道该产品的人都可以使用他们的电话号码作为有效用户登录。那么如何控制谁可以登录呢？
谢谢！

标签： firebasefirebase-authenticationfirebase-admin

Answer 1

您无法阻止用户使用 Firebase 身份验证登录。他们需要做的只是配置数据，根据定义，您必须将其包含在应用程序本身中。

您可以做的是阻止用户：

1. 使用您的应用程序。
2. 访问您的应用使用的数据。

如果您使用 Firebase 的实时数据库、Firestore 或 Cloud Storage，则可以通过编写由 Firebase 自动执行的安全规则来完成第二个任务，并控制对数据的访问。如果您使用其他方式向您的应用程序公开数据，则需要在安全环境中验证用户的 ID 令牌，并确保他们有权访问数据。

为了防止用户使用您的应用程序，您通常会检测他们是否在您的应用程序代码中获得授权。如果不是，请将其注销，然后将其重定向回登录屏幕。结合上述数据访问控制，可以有效控制滥用。