Güvenli olmayan kurallardan kaçının

Firebase Güvenlik Kuralları yapılandırmalarındaki yaygın güvenlik açıklarını anlamak, kendi kurallarınızı gözden geçirip daha iyi güvenceye almak ve değişikliklerinizi dağıtmadan önce test etmek için bu kılavuzu kullanın.

Verilerinizin uygun şekilde korunmadığına dair bir uyarı alırsanız, yaygın olarak yapılan bu hataları inceleyin ve güvenlik açığı bulunan kuralları güncelleyin.

Firebase Güvenlik Kurallarınıza erişin

Mevcut Kurallarınızı görüntülemek için Firebase CLI'yi veya Firebase konsolunu kullanın. Güncellemelerin yanlışlıkla üzerine yazılmasını önlemek için kurallarınızı tutarlı bir şekilde aynı yöntemi kullanarak düzenlediğinizden emin olun. Yerel olarak tanımlanmış kurallarınızın en son güncellemeleri yansıtıp yansıtmadığından emin değilseniz Firebase konsolu her zaman Firebase Güvenlik Kurallarınızın en son dağıtılan sürümünü gösterir.

Firebase konsolundan kurallarınıza erişmek için projenizi seçin ve ardından Realtime Database , Cloud Firestore veya Storage'a gidin. Doğru veritabanına veya depolama paketine girdikten sonra Kurallar'a tıklayın.

Firebase CLI'den kurallarınıza erişmek için firebase.json dosyanızda belirtilen kurallar dosyasına gidin.

Firebase Güvenlik Kurallarını Anlayın

Firebase Güvenlik Kuralları, verilerinizi kötü niyetli kullanıcılardan korur. Firebase konsolunda bir veritabanı örneği veya Cloud Storage paketi oluşturduğunuzda, tüm kullanıcıların erişimini reddetmeyi ( Kilitli mod ) veya tüm kullanıcılara erişim vermeyi ( Test modu ) seçebilirsiniz. Geliştirme sırasında daha açık bir yapılandırma isteyebilirsiniz ancak uygulamanızı dağıtmadan önce kurallarınızı doğru şekilde yapılandırmak ve verilerinizin güvenliğini sağlamak için zaman ayırdığınızdan emin olun.

Uygulamanızı geliştirirken ve kurallarınız için farklı yapılandırmaları test ederken, uygulamanızı yerel bir geliştirme ortamında çalıştırmak için yerel Firebase emülatörlerinden birini kullanın.

Güvenli olmayan kurallara sahip yaygın senaryolar

Varsayılan olarak veya uygulamanızı geliştirirken başlangıçta çalıştığınız sırada ayarlamış olabileceğiniz Kurallar, uygulamanızı dağıtmadan önce incelenmeli ve güncellenmelidir. Aşağıdaki yaygın tuzaklardan kaçınarak kullanıcılarınızın verilerini uygun şekilde güvence altına aldığınızdan emin olun.

Açık Erişim

Firebase projenizi oluştururken kurallarınızı geliştirme sırasında açık erişime izin verecek şekilde belirlemiş olabilirsiniz. Uygulamanızı kullanan tek kişinin siz olduğunuzu düşünebilirsiniz, ancak uygulamayı siz dağıttıysanız internette mevcuttur. Kullanıcıların kimliğini doğrulamıyorsanız ve güvenlik kurallarını yapılandırmıyorsanız proje kimliğinizi tahmin eden herkes verileri çalabilir, değiştirebilir veya silebilir.

Önerilmez: Tüm kullanıcılar için okuma ve yazma erişimi.

Bulut Firestore

// Allow read/write access to all users under any conditions
// Warning: **NEVER** use this ruleset in production; it allows
// anyone to overwrite your entire database.

service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if true;
    }
  }
}

Gerçek Zamanlı Veritabanı

{
  // Allow read/write access to all users under any conditions
  // Warning: **NEVER** use this ruleset in production; it allows
  // anyone to overwrite your entire database.

  "rules": {
    ".read": true,
    ".write": true
  }
}
    

Bulut depolama

// Anyone can read or write to the bucket, even non-users of your app.
// Because it is shared with App Engine, this will also make
// files uploaded via App Engine public.
// Warning: This rule makes every file in your Cloud Storage bucket accessible to any user.
// Apply caution before using it in production, since it means anyone
// can overwrite all your files.

service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write;
    }
  }
}
    
Çözüm: Okuma ve yazma erişimini kısıtlayan kurallar.

Veri hiyerarşiniz için anlamlı kurallar oluşturun. Bu güvensizliğin yaygın çözümlerinden biri Firebase Authentication ile kullanıcı tabanlı güvenliktir. Kullanıcıların kimliklerini kurallarla doğrulama hakkında daha fazla bilgi edinin.

Bulut Firestore

Gerçek Zamanlı Veritabanı

Bulut depolama

Kimliği doğrulanmış herhangi bir kullanıcı için erişim

Bazen Kurallar bir kullanıcının oturum açıp açmadığını kontrol eder ancak bu kimlik doğrulamasına dayalı olarak erişimi daha fazla kısıtlamaz. Kurallarınızdan biri auth != null içeriyorsa, oturum açmış herhangi bir kullanıcının verilere erişmesini istediğinizi onaylayın.

Tavsiye edilmez: Oturum açmış herhangi bir kullanıcının veritabanınızın tamamına okuma ve yazma erişimi vardır.

Bulut Firestore

service cloud.firestore {
  match /databases/{database}/documents {
    match /some_collection/{document} {
      allow read, write: if request.auth.uid != null;
    }
  }
}

Gerçek Zamanlı Veritabanı

{
  "rules": {
    ".read": "auth.uid !== null",
    ".write": "auth.uid !== null"
  }
}

Bulut depolama

// Only authenticated users can read or write to the bucket
service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write: if request.auth != null;
    }
  }
}
Çözüm: Güvenlik koşullarını kullanarak erişimi daraltın.

Kimlik doğrulamayı kontrol ederken, belirli veri kümeleri için belirli kullanıcılara erişimi daha da kısıtlamak amacıyla kimlik doğrulama özelliklerinden birini de kullanmak isteyebilirsiniz. Farklı kimlik doğrulama özellikleri hakkında daha fazla bilgi edinin.

Bulut Firestore

Gerçek Zamanlı Veritabanı

Bulut depolama

(Gerçek Zamanlı Veritabanı) Yanlış şekilde devralınan kurallar

Gerçek Zamanlı Veritabanı Güvenliği Kuralları, daha yüzeysel kurallarla, üst yolların daha derindeki alt düğümlerdeki kuralları geçersiz kılmasıyla basamaklanır. Bir alt düğüme kural yazdığınızda, bunun yalnızca ek ayrıcalıklar verebileceğini unutmayın. Veritabanınızda daha derin bir yoldaki verilere erişimi hassaslaştıramaz veya iptal edemezsiniz.

Tavsiye edilmiyor:
{
  "rules": {
     "foo": {
        // allows read to /foo/*
        ".read": "data.child('baz').val() === true",
        "bar": {
          /* ignored, since read was allowed already */
          ".read": false
        }
     }
  }
}
alt yollarındaki kuralların hassaslaştırılması
Çözüm: Ana yollara daha geniş kurallar yazın ve alt yollara daha spesifik ayrıcalıklar verin Veri erişim ihtiyaçlarınız daha fazla ayrıntı düzeyi gerektiriyorsa, kurallarınızı ayrıntılı tutun. Gerçek Zamanlı Veritabanı Güvenliği Kurallarının Temel sözdiziminde Gerçek Zamanlı Veritabanı Güvenliği Kurallarını basamaklandırma hakkında daha fazla bilgi edinin.

Kapalı erişim

Uygulamanızı geliştirirken diğer bir yaygın yaklaşım da verilerinizi kilitli tutmaktır. Genellikle bu, tüm kullanıcıların okuma ve yazma erişimini aşağıdaki şekilde kapattığınız anlamına gelir:

Bulut Firestore

// Deny read/write access to all users under any conditions
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if false;
    }
  }
}

Gerçek Zamanlı Veritabanı

{
  "rules": {
    ".read": false,
    ".write": false
  }
}
    

Bulut depolama

// Access to files through Cloud Storage is completely disallowed.
// Files may still be accessible through App Engine or Google Cloud Storage APIs.

service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write: if false;
    }
  }
}

Firebase Yönetici SDK'ları ve Bulut İşlevleri hâlâ veritabanınıza erişebilir. Cloud Firestore'u veya Realtime Database'i Firebase Admin SDK ile birlikte yalnızca sunucuya yönelik bir arka uç olarak kullanmayı düşünüyorsanız bu kuralları kullanın. Güvenli olmasına rağmen uygulamanızın istemcilerinin verileri düzgün bir şekilde alabildiğini test etmelisiniz.

Cloud Firestore Güvenlik Kuralları ve bunların nasıl çalıştığı hakkında daha fazla bilgiyi Cloud Firestore Güvenlik Kurallarına Başlarken bölümünden öğrenin.

Cloud Firestore Güvenlik Kurallarınızı test edin

Uygulamanızın davranışını kontrol etmek ve Cloud Firestore Güvenlik Kuralları yapılandırmalarınızı doğrulamak için Firebase Emulator'ı kullanın. Herhangi bir değişikliği dağıtmadan önce yerel ortamda birim testlerini çalıştırmak ve otomatikleştirmek için Cloud Firestore öykünücüsünü kullanın.

Firebase konsolunda Firebase Güvenlik Kurallarını hızlı bir şekilde doğrulamak için Firebase Kural Simülatörünü kullanın.