Tránh các quy tắc không an toàn

Hãy sử dụng hướng dẫn này để hiểu các lỗ hổng thường gặp trong Firebase Security Rules cấu hình, xem xét và bảo mật tốt hơn các quy tắc của riêng bạn, đồng thời kiểm thử các thay đổi trước khi triển khai.

Nếu bạn nhận được một cảnh báo rằng dữ liệu của bạn không được bảo mật đúng cách, hãy xem xét các lỗi thường gặp này và cập nhật mọi quy tắc dễ bị tấn công.

Truy cập vào Firebase Security Rules

Để xem các Security Rules hiện có, hãy sử dụng Firebase CLI hoặc Firebase console. Đảm bảo bạn chỉnh sửa các quy tắc của mình bằng cùng một phương thức, một cách nhất quán để tránh vô tình ghi đè các bản cập nhật. Nếu bạn không chắc liệu các quy tắc được xác định cục bộ có phản ánh các bản cập nhật gần đây nhất hay không, thì Bảng điều khiển Firebase luôn hiển thị phiên bản được triển khai gần đây nhất của Firebase Security Rules.

Để truy cập vào các quy tắc của bạn từ Firebase bảng điều khiển, hãy chọn dự án của bạn, sau đó chuyển đến Realtime Database, Cloud Firestore hoặc Storage. Nhấp vào Rules (Quy tắc) sau khi bạn vào đúng cơ sở dữ liệu hoặc vùng lưu trữ bucket.

Để truy cập vào các quy tắc của bạn từ Firebase CLI, hãy chuyển đến tệp quy tắc được ghi chú trong tệp firebase.json.

Tìm hiểu về Firebase Security Rules

Firebase Security Rules bảo vệ dữ liệu của bạn khỏi những người dùng độc hại. Khi tạo một thực thể cơ sở dữ liệu hoặc vùng lưu trữ Cloud Storage trong Bảng điều khiển Firebase, bạn có thể chọn từ chối quyền truy cập đối với tất cả người dùng (Chế độ khoá) hoặc cấp quyền truy cập cho tất cả người dùng (Chế độ kiểm thử). Mặc dù bạn có thể muốn một cấu hình mở hơn trong quá trình phát triển, nhưng hãy nhớ dành thời gian để định cấu hình đúng cách các quy tắc và bảo mật dữ liệu của bạn trước khi triển khai ứng dụng.

Khi bạn đang phát triển ứng dụng và kiểm thử các cấu hình khác nhau cho các quy tắc, hãy sử dụng một trong các trình mô phỏng Firebase cục bộ để chạy ứng dụng trong môi trường phát triển cục bộ.

Các trường hợp thường gặp có quy tắc không an toàn

Bạn nên xem xét và cập nhật Security Rules mà bạn có thể đã thiết lập theo mặc định hoặc khi bạn bắt đầu phát triển ứng dụng trước khi triển khai ứng dụng. Hãy đảm bảo bạn bảo mật đúng cách dữ liệu của người dùng bằng cách tránh những lỗi thường gặp sau đây.

Quyền truy cập mở

Khi thiết lập dự án Firebase, bạn có thể đã đặt các quy tắc để cho phép quyền truy cập mở trong quá trình phát triển. Bạn có thể nghĩ rằng mình là người duy nhất sử dụng ứng dụng của mình, nhưng nếu bạn đã triển khai ứng dụng đó, thì ứng dụng đó sẽ có trên Internet. Nếu bạn không xác thực người dùng và định cấu hình các quy tắc bảo mật, thì bất kỳ ai đoán được mã dự án của bạn đều có thể đánh cắp, sửa đổi hoặc xoá dữ liệu.

Không nên dùng: Quyền truy cập đọc và ghi cho tất cả người dùng.

Cloud Firestore

// Allow read/write access to all users under any conditions
// Warning: **NEVER** use this ruleset in production; it allows
// anyone to overwrite your entire database.

service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if true;
    }
  }
}

Realtime Database

{
  // Allow read/write access to all users under any conditions
  // Warning: **NEVER** use this ruleset in production; it allows
  // anyone to overwrite your entire database.

  "rules": {
    ".read": true,
    ".write": true
  }
}

Cloud Storage

// Anyone can read or write to the bucket, even non-users of your app.
// Because it is shared with App Engine, this will also make
// files uploaded using App Engine public.
// Warning: This rule makes every file in your Cloud Storage bucket accessible to any user.
// Apply caution before using it in production, since it means anyone
// can overwrite all your files.

service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write;
    }
  }
}

Giải pháp: Các quy tắc hạn chế quyền truy cập đọc và ghi.

Xây dựng các quy tắc phù hợp với hệ thống phân cấp dữ liệu của bạn. Một trong những giải pháp phổ biến cho vấn đề không an toàn này là bảo mật dựa trên người dùng bằng Firebase Authentication. Tìm hiểu thêm về cách xác thực người dùng bằng các quy tắc.

Cloud Firestore

Chỉ chủ sở hữu nội dung

service cloud.firestore {
  match /databases/{database}/documents {
    // Allow only authenticated content owners access
    match /some_collection/{document} {
      // Allow reads and deletion if the current user owns the existing document
      allow read, delete: if request.auth.uid == resource.data.author_uid;
      // Allow creation if the current user owns the new document
      allow create: if request.auth.uid == request.resource.data.author_uid;
      // Allow updates by the owner, and prevent change of ownership
      allow update: if request.auth.uid == request.resource.data.author_uid
                    && request.auth.uid == resource.data.author_uid;

    }
  }
}

Quyền truy cập hỗn hợp công khai và riêng tư

service cloud.firestore {
  match /databases/{database}/documents {
    // Allow public read access, but only content owners can write
    match /some_collection/{document} {
      // Allow public reads
      allow read: if true
      // Allow creation if the current user owns the new document
      allow create: if request.auth.uid == request.resource.data.author_uid;
      // Allow updates by the owner, and prevent change of ownership
      allow update: if request.auth.uid == request.resource.data.author_uid
                    && request.auth.uid == resource.data.author_uid;
      // Allow deletion if the current user owns the existing document
      allow delete: if request.auth.uid == resource.data.author_uid;
    }
  }
}

Realtime Database

Chỉ chủ sở hữu nội dung

{
  "rules": {
    "some_path": {
      "$uid": {
        // Allow only authenticated content owners access to their data
        ".read": "auth !== null && auth.uid === $uid",
        ".write": "auth !== null && auth.uid === $uid"
      }
    }
  }
}

Quyền truy cập hỗn hợp công khai và riêng tư

{
  // Allow anyone to read data, but only authenticated content owners can
  // make changes to their data

  "rules": {
    "some_path/$uid": {
      ".read": true,
      // or ".read": "auth.uid !== null" for only authenticated users
      ".write": "auth.uid === $uid"
    }
  }
}

Cloud Storage

Chỉ chủ sở hữu nội dung

// Grants a user access to a node matching their user ID
service firebase.storage {
  match /b/{bucket}/o {
    // Files look like: "user/<UID>/file.txt"
    match /user/{userId}/{fileName} {
      allow read, write: if request.auth.uid == userId;
    }
  }
}

Quyền truy cập hỗn hợp công khai và riêng tư

service firebase.storage {
  match /b/{bucket}/o {
    // Files look like: "user/<UID>/file.txt"
    match /user/{userId}/{fileName} {
      allow read;
      allow write: if request.auth.uid == userId;
    }
  }
}

Quyền truy cập cho bất kỳ người dùng nào đã xác thực

Đôi khi, Security Rules kiểm tra xem người dùng đã đăng nhập hay chưa, nhưng không hạn chế thêm quyền truy cập dựa trên quá trình xác thực đó. Nếu một trong các quy tắc của bạn bao gồm auth != null, hãy xác nhận rằng bạn muốn bất kỳ người dùng nào đã đăng nhập đều có quyền truy cập vào dữ liệu.

Không nên dùng: Bất kỳ người dùng nào đã đăng nhập đều có quyền truy cập đọc và ghi vào toàn bộ cơ sở dữ liệu của bạn.

Cloud Firestore

service cloud.firestore {
  match /databases/{database}/documents {
    match /some_collection/{document} {
      allow read, write: if request.auth.uid != null;
    }
  }
}

Realtime Database

{
  "rules": {
    ".read": "auth.uid !== null",
    ".write": "auth.uid !== null"
  }
}

Cloud Storage

// Only authenticated users can read or write to the bucket
service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write: if request.auth != null;
    }
  }
}

Giải pháp: Thu hẹp quyền truy cập bằng các điều kiện bảo mật.

Khi kiểm tra quá trình xác thực, bạn cũng có thể muốn sử dụng một trong các thuộc tính xác thực để hạn chế thêm quyền truy cập đối với những người dùng cụ thể cho các tập dữ liệu cụ thể. Tìm hiểu thêm về các thuộc tính xác thực khác nhau .

Cloud Firestore

Quyền truy cập dựa trên vai trò

service cloud.firestore {
  match /databases/{database}/documents {
    // Assign roles to all users and refine access based on user roles
    match /some_collection/{document} {
     allow read: if get(/databases/$(database)/documents/users/$(request.auth.uid)).data.role == "Reader"
     allow write: if get(/databases/$(database)/documents/users/$(request.auth.uid)).data.role == "Writer"

     // Note: Checking for roles in your database using `get` (as in the code
     // above) or `exists` carry standard charges for read operations.
    }
  }
}

Quyền truy cập dựa trên thuộc tính

// Give each user in your database a particular attribute
// and set it to true/false
// Then, use that attribute to grant access to subsets of data
// For example, an "administrator" attribute set
// to "true" grants write access to data

service cloud.firestore {
  match /databases/{database}/documents {
    match /some_collection/{document} {
      allow write: if get(/databases/$(database)/documents/users/$(request.auth.uid)).data.admin == true;
      allow read: true;
    }
  }
}

Quyền truy cập hỗn hợp công khai và riêng tư

service cloud.firestore {
  match /databases/{database}/documents {
    // Allow public read access, but only content owners can write
    match /some_collection/{document} {
      allow read: if true
      allow write: if request.auth.uid == request.resource.data.author_uid
    }
  }
}

Realtime Database

Chỉ chủ sở hữu nội dung

{
  "rules": {
    "some_path": {
      "$uid": {
        // Allow only authenticated content owners access to their data
        ".read": "auth.uid === $uid",
        ".write": "auth.uid === $uid"
      }
    }
  }
}

Quyền truy cập được phân định theo đường dẫn

{
  "rules": {
    "some_path/$uid": {
      ".write": "auth.uid === $uid",
      // Create a "public" subpath in your dataset
      "public": {
        ".read": true
        // or ".read": "auth.uid !== null"
      },
      // Create a "private" subpath in your dataset
      "private": {
        ".read": "auth.uid === $uid"
      }
    }
  }
}

Quyền truy cập hỗn hợp công khai và riêng tư

{
  // Allow anyone to read data, but only authenticated content owners can
  // make changes to their data

  "rules": {
    "some_path/$uid": {
      ".read": true,
      // or ".read": "auth.uid !== null" for only authenticated users
      ".write": "auth.uid === $uid"
    }
  }
}

Cloud Storage

Quyền truy cập dựa trên nhóm

// Allow reads if the group ID in your token matches the file metadata `owner` property
// Allow writes if the group ID is in the user's custom token
match /files/{groupId}/{fileName} {
  allow read: if resource.metadata.owner == request.auth.token.groupId;
  allow write: if request.auth.token.groupId == groupId;
}

Chỉ chủ sở hữu nội dung

// Grants a user access to a node matching their user ID
service firebase.storage {
  match /b/{bucket}/o {
    // Files look like: "user/<UID>/file.txt"
    match /user/{userId}/{fileName} {
      allow read, write: if request.auth.uid == userId;
    }
  }
}

Quyền truy cập hỗn hợp công khai và riêng tư

service firebase.storage {
  match /b/{bucket}/o {
    // Files look like: "user/<UID>/file.txt"
    match /user/{userId}/{fileName} {
      allow read;
      allow write: if request.auth.uid == userId;
    }
  }
}

(Realtime Database) Các quy tắc được kế thừa không đúng cách

Realtime Database Security Rules xếp tầng, với các quy tắc ở các đường dẫn mẹ nông hơn ghi đè các quy tắc ở các nút con sâu hơn. Khi bạn viết một quy tắc ở một nút con, hãy nhớ rằng quy tắc đó chỉ có thể cấp thêm đặc quyền. Bạn không thể tinh chỉnh hoặc thu hồi quyền truy cập vào dữ liệu ở một đường dẫn sâu hơn trong cơ sở dữ liệu.

Không nên dùng: Tinh chỉnh các quy tắc ở các đường dẫn con

{
  "rules": {
     "foo": {
        // allows read to /foo/*
        ".read": "data.child('baz').val() === true",
        "bar": {
          /* ignored, since read was allowed already */
          ".read": false
        }
     }
  }
}

Giải pháp: Viết các quy tắc ở các đường dẫn mẹ có phạm vi rộng và cấp các đặc quyền cụ thể hơn ở các đường dẫn con Nếu nhu cầu truy cập dữ liệu của bạn yêu cầu độ chi tiết cao hơn, hãy giữ các quy tắc của bạn ở mức chi tiết. Tìm hiểu thêm về cách xếp tầng Realtime Database Security Rules trong Cú pháp cốt lõi của Realtime Database Security Rules.

Quyền truy cập bị đóng

Trong khi bạn đang phát triển ứng dụng, một phương pháp phổ biến khác là giữ cho dữ liệu của bạn bị khoá. Thông thường, điều này có nghĩa là bạn đã đóng quyền truy cập đọc và ghi đối với tất cả người dùng, như sau:

Cloud Firestore

// Deny read/write access to all users under any conditions
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if false;
    }
  }
}

Realtime Database

{
  "rules": {
    ".read": false,
    ".write": false
  }
}

Cloud Storage

// Access to files through Cloud Storage is completely disallowed.
// Files may still be accessible through App Engine or Google Cloud Storage APIs.

service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write: if false;
    }
  }
}

Firebase Admin SDK và Cloud Functions vẫn có thể truy cập vào cơ sở dữ liệu của bạn. Sử dụng các quy tắc này khi bạn dự định sử dụng Cloud Firestore hoặc Realtime Database làm phần phụ trợ chỉ dành cho máy chủ kết hợp với Firebase Admin SDK. Mặc dù an toàn, nhưng bạn nên kiểm thử để đảm bảo rằng các ứng dụng của ứng dụng có thể truy xuất dữ liệu đúng cách.

Tìm hiểu thêm về Cloud Firestore Security Rules và cách các quy tắc này hoạt động trong Bắt đầu sử dụng Cloud Firestore Security Rules.

Kiểm thử Cloud Firestore Security Rules

Để kiểm tra hành vi của ứng dụng và xác minh cấu hình Cloud Firestore Security Rules, hãy sử dụng Trình mô phỏng Firebase. Sử dụng Cloud Firestore trình mô phỏng để chạy và tự động hoá các quy trình kiểm thử đơn vị trong môi trường cục bộ trước khi bạn triển khai bất kỳ thay đổi nào.

Để nhanh chóng xác thực Firebase Security Rules trong Bảng điều khiển Firebase, hãy sử dụng Trình mô phỏng quy tắc Firebase.

Tránh các quy tắc không an toàn Sử dụng bộ sưu tập để sắp xếp ngăn nắp các trang Lưu và phân loại nội dung dựa trên lựa chọn ưu tiên của bạn.

Truy cập vào Firebase Security Rules

Tìm hiểu về Firebase Security Rules

Các trường hợp thường gặp có quy tắc không an toàn

Quyền truy cập mở

Cloud Firestore

Realtime Database

Cloud Storage

Cloud Firestore

Chỉ chủ sở hữu nội dung

Quyền truy cập hỗn hợp công khai và riêng tư

Realtime Database

Chỉ chủ sở hữu nội dung

Quyền truy cập hỗn hợp công khai và riêng tư

Cloud Storage

Chỉ chủ sở hữu nội dung

Quyền truy cập hỗn hợp công khai và riêng tư

Quyền truy cập cho bất kỳ người dùng nào đã xác thực

Cloud Firestore

Realtime Database

Cloud Storage

Cloud Firestore

Quyền truy cập dựa trên vai trò

Quyền truy cập dựa trên thuộc tính

Quyền truy cập hỗn hợp công khai và riêng tư

Realtime Database

Chỉ chủ sở hữu nội dung

Quyền truy cập được phân định theo đường dẫn

Quyền truy cập hỗn hợp công khai và riêng tư

Cloud Storage

Quyền truy cập dựa trên nhóm

Chỉ chủ sở hữu nội dung

Quyền truy cập hỗn hợp công khai và riêng tư

(Realtime Database) Các quy tắc được kế thừa không đúng cách

Quyền truy cập bị đóng

Cloud Firestore

Realtime Database

Cloud Storage

Kiểm thử Cloud Firestore Security Rules

Tránh các quy tắc không an toàn