Join us in person and online for Firebase Summit on October 18, 2022. Learn how Firebase can help you accelerate app development, release your app with confidence, and scale with ease. Register now

Güvenli olmayan kurallardan kaçının

Koleksiyonlar ile düzeninizi koruyun İçeriği tercihlerinize göre kaydedin ve kategorilere ayırın.

Firebase Güvenlik Kuralları yapılandırmalarındaki yaygın güvenlik açıklarını anlamak, kendi kurallarınızı gözden geçirip daha iyi güvenlik altına almak ve bunları dağıtmadan önce değişikliklerinizi test etmek için bu kılavuzu kullanın.

Verilerinizin gerektiği gibi güvenliğinin sağlanmadığına dair bir uyarı alırsanız, yaygın olarak yapılan bu hataları inceleyin ve güvenlik açığı bulunan tüm kuralları güncelleyin.

Firebase Güvenlik Kurallarınıza erişin

Mevcut Kurallarınızı görüntülemek için Firebase CLI'yi veya Firebase konsolunu kullanın. Yanlışlıkla güncellemelerin üzerine yazmaktan kaçınmak için kurallarınızı aynı yöntemi kullanarak tutarlı bir şekilde düzenlediğinizden emin olun. Yerel olarak tanımlanmış kurallarınızın en son güncellemeleri yansıtıp yansıtmadığından emin değilseniz, Firebase konsolu her zaman Firebase Güvenlik Kurallarınızın en son dağıtılan sürümünü gösterir.

Kurallarınıza Firebase konsolundan erişmek için projenizi seçin, ardından Realtime Database , Cloud Firestore veya Storage'a gidin. Doğru veritabanına veya depolama paketine girdikten sonra Kurallar'a tıklayın.

Firebase CLI'den kurallarınıza erişmek için firebase.json dosyanızda belirtilen kurallar dosyasına gidin.

Firebase Güvenlik Kurallarını Anlayın

Firebase Güvenlik Kuralları, verilerinizi kötü niyetli kullanıcılardan korur. Firebase konsolunda bir veritabanı örneği veya Bulut Depolama paketi oluşturduğunuzda, tüm kullanıcıların erişimini reddetmeyi ( Kilitli mod ) veya tüm kullanıcılara erişim vermeyi ( Test modu ) seçebilirsiniz. Geliştirme sırasında daha açık bir yapılandırma isteyebilirsiniz, ancak uygulamanızı dağıtmadan önce kurallarınızı doğru şekilde yapılandırmak ve verilerinizin güvenliğini sağlamak için zaman ayırdığınızdan emin olun.

Uygulamanızı geliştirirken ve kurallarınız için farklı yapılandırmaları test ederken, uygulamanızı yerel bir geliştirme ortamında çalıştırmak için yerel Firebase öykünücülerinden birini kullanın.

Güvenli olmayan kurallara sahip yaygın senaryolar

Varsayılan olarak veya uygulamanızı geliştirmeye başlarken oluşturduğunuz Kurallar, uygulamanızı dağıtmadan önce gözden geçirilmeli ve güncellenmelidir. Aşağıdaki yaygın tuzaklardan kaçınarak kullanıcılarınızın verilerini düzgün bir şekilde koruduğunuzdan emin olun.

Açık Erişim

Firebase projenizi kurarken, geliştirme sırasında açık erişime izin vermek için kurallarınızı belirlemiş olabilirsiniz. Uygulamanızı kullanan tek kişi olduğunuzu düşünebilirsiniz, ancak dağıttıysanız, internette kullanılabilir. Kullanıcıların kimliğini doğrulamıyor ve güvenlik kurallarını yapılandırmıyorsanız, proje kimliğinizi tahmin eden herkes verileri çalabilir, değiştirebilir veya silebilir.

Önerilmez: Tüm kullanıcılar için okuma ve yazma erişimi.

Bulut Firestore

// Allow read/write access to all users under any conditions
// Warning: **NEVER** use this ruleset in production; it allows
// anyone to overwrite your entire database.

service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if true;
    }
  }
}

Gerçek Zamanlı Veritabanı

{
  // Allow read/write access to all users under any conditions
  // Warning: **NEVER** use this ruleset in production; it allows
  // anyone to overwrite your entire database.

  "rules": {
    ".read": true,
    ".write": true
  }
}
    

Bulut depolama

// Anyone can read or write to the bucket, even non-users of your app.
// Because it is shared with App Engine, this will also make
// files uploaded via App Engine public.
// Warning: This rule makes every file in your Cloud Storage bucket accessible to any user.
// Apply caution before using it in production, since it means anyone
// can overwrite all your files.

service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write;
    }
  }
}
    
Çözüm: Okuma ve yazma erişimini kısıtlayan kurallar.

Veri hiyerarşiniz için anlamlı kurallar oluşturun. Bu güvensizliğin yaygın çözümlerinden biri, Firebase Kimlik Doğrulaması ile kullanıcı tabanlı güvenliktir. Kurallarla kullanıcıların kimliğini doğrulama hakkında daha fazla bilgi edinin.

Bulut Firestore

Gerçek Zamanlı Veritabanı

Bulut depolama

Kimliği doğrulanmış herhangi bir kullanıcı için erişim

Bazen Kurallar, bir kullanıcının oturum açtığını kontrol eder, ancak bu kimlik doğrulamaya dayalı olarak erişimi daha fazla kısıtlamaz. Kurallarınızdan biri auth != null içeriyorsa, oturum açmış herhangi bir kullanıcının verilere erişmesini istediğinizi onaylayın.

Önerilmez: Oturum açmış herhangi bir kullanıcının tüm veritabanınıza okuma ve yazma erişimi vardır.

Bulut Firestore

service cloud.firestore {
  match /databases/{database}/documents {
    match /some_collection/{document} {
      allow read, write: if request.auth.uid != null;
    }
  }
}

Gerçek Zamanlı Veritabanı

{
  "rules": {
    ".read": "auth.uid !== null",
    ".write": "auth.uid !== null"
  }
}

Bulut depolama

// Only authenticated users can read or write to the bucket
service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write: if request.auth != null;
    }
  }
}
Çözüm: Güvenlik koşullarını kullanarak dar erişim.

Kimlik doğrulamayı kontrol ederken, belirli veri kümeleri için belirli kullanıcılara erişimi daha fazla kısıtlamak için kimlik doğrulama özelliklerinden birini de kullanmak isteyebilirsiniz. Farklı kimlik doğrulama özellikleri hakkında daha fazla bilgi edinin.

Bulut Firestore

Gerçek Zamanlı Veritabanı

Bulut depolama

(Gerçek Zamanlı Veritabanı) Uygun olmayan şekilde devralınan kurallar

Gerçek Zamanlı Veritabanı Kuralları, daha sığ kurallarla, daha derindeki alt düğümlerdeki kuralları geçersiz kılan ana yollar ile basamaklıdır. Bir alt düğümde bir kural yazarken, bunun yalnızca ek ayrıcalıklar verebileceğini unutmayın. Veritabanınızdaki daha derin bir yoldaki verilere erişimi iyileştiremez veya iptal edemezsiniz.

Önerilmez: Alt yollardaki kuralları
{
  "rules": {
     "foo": {
        // allows read to /foo/*
        ".read": "data.child('baz').val() === true",
        "bar": {
          /* ignored, since read was allowed already */
          ".read": false
        }
     }
  }
}
Çözüm: Geniş olan üst yollara kurallar yazın ve alt yollara daha özel ayrıcalıklar verin Veri erişimi ihtiyaçlarınız daha fazla ayrıntı düzeyi gerektiriyorsa, kurallarınızı ayrıntılı tutun. Verilerinizi Güvende Tutma bölümünde basamaklı Gerçek Zamanlı Veritabanı Kuralları hakkında daha fazla bilgi edinin.

Kapalı erişim

Uygulamanızı geliştirirken diğer bir yaygın yaklaşım da verilerinizi kilitli tutmaktır. Bu genellikle, aşağıdaki şekilde tüm kullanıcılara okuma ve yazma erişimini kapattığınız anlamına gelir:

Bulut Firestore

// Deny read/write access to all users under any conditions
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if false;
    }
  }
}

Gerçek Zamanlı Veritabanı

{
  "rules": {
    ".read": false,
    ".write": false
  }
}
    

Bulut depolama

// Access to files through Cloud Storage is completely disallowed.
// Files may still be accessible through App Engine or Google Cloud Storage APIs.

service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write: if false;
    }
  }
}

Firebase Admin SDK'ları ve Cloud Functions, veritabanınıza erişmeye devam edebilir. Firebase Admin SDK ile birlikte Cloud Firestore veya Realtime Database'i yalnızca sunucu arka ucu olarak kullanmayı düşündüğünüzde bu kuralları kullanın. Güvenli olsa da, uygulamanızın istemcilerinin verileri düzgün bir şekilde alıp alamayacağını test etmelisiniz.

Cloud Firestore Güvenlik Kurallarını Kullanmaya Başlarken bölümünde Cloud Firestore Güvenlik Kuralları ve nasıl çalıştıkları hakkında daha fazla bilgi edinin.

Cloud Firestore Güvenlik Kurallarınızı test edin

Uygulamanızın davranışını kontrol etmek ve Cloud Firestore Güvenlik Kuralları yapılandırmalarınızı doğrulamak için Firebase Emulator'ı kullanın. Herhangi bir değişikliği dağıtmadan önce yerel bir ortamda birim testlerini çalıştırmak ve otomatikleştirmek için Cloud Firestore öykünücüsünü kullanın.

Firebase konsolunda Firebase Güvenlik Kurallarını hızlı bir şekilde doğrulamak için Firebase Kuralları Simülatörünü kullanın.