Google ใช้เทคโนโลยี AI เพื่อแปลเนื้อหาเป็นภาษาที่คุณต้องการ การแปลโดย AI อาจมีข้อผิดพลาด

หลีกเลี่ยงกฎที่ไม่ปลอดภัย

ใช้คำแนะนำนี้เพื่อทำความเข้าใจช่องโหว่ที่พบบ่อยในการกำหนดค่าFirebase Security Rules ตรวจสอบและรักษาความปลอดภัยกฎของคุณเองให้ดียิ่งขึ้น รวมถึงทดสอบการเปลี่ยนแปลงก่อนที่จะทำให้ใช้งานได้

หากคุณได้รับการแจ้งเตือนว่าข้อมูลของคุณไม่ได้รับการรักษาความปลอดภัยอย่างเหมาะสม ให้ตรวจสอบข้อผิดพลาดที่พบบ่อยเหล่านี้และอัปเดตกฎที่มีช่องโหว่

เข้าถึง Firebase Security Rules

หากต้องการดู Security Rules ที่มีอยู่ ให้ใช้ Firebase CLI หรือคอนโซล Firebase ตรวจสอบว่าคุณแก้ไขกฎโดยใช้วิธีเดียวกันอย่างสม่ำเสมอเพื่อหลีกเลี่ยงการเขียนทับการอัปเดตโดยไม่ได้ตั้งใจ หากไม่แน่ใจว่ากฎที่กำหนดไว้ในเครื่องของคุณแสดงการอัปเดตล่าสุดหรือไม่ คอนโซล Firebase จะแสดงเวอร์ชันที่ทำให้ใช้งานได้ล่าสุดของ Firebase Security Rules เสมอ

หากต้องการเข้าถึงกฎจากคอนโซลFirebase Firebase ให้เลือกโปรเจ็กต์ แล้วไปที่Realtime Database Cloud Firestore หรือ พื้นที่เก็บข้อมูล คลิกกฎ เมื่ออยู่ในฐานข้อมูลหรือบัคเก็ตพื้นที่เก็บข้อมูลที่ถูกต้อง

หากต้องการเข้าถึงกฎจาก Firebase CLI ให้ไปที่ ไฟล์กฎที่ระบุไว้ใน ไฟล์ firebase.json

ทำความเข้าใจ Firebase Security Rules

Firebase Security Rules ช่วยปกป้องข้อมูลของคุณจากผู้ใช้ที่ไม่ประสงค์ดี เมื่อสร้างอินสแตนซ์ฐานข้อมูลหรือบัคเก็ตCloud StorageในคอนโซลFirebaseคุณสามารถเลือกที่จะปฏิเสธการเข้าถึงของผู้ใช้ทุกคน (โหมดล็อกขณะคุมสอบ)หรือให้สิทธิ์เข้าถึงแก่ผู้ใช้ทุกคน (โหมดทดสอบ) แม้ว่าคุณอาจต้องการการกำหนดค่าที่เปิดกว้างมากขึ้นในระหว่างการพัฒนา แต่โปรดใช้เวลาในการกำหนดค่ากฎอย่างเหมาะสมและรักษาความปลอดภัยข้อมูลก่อนที่จะทำให้แอปใช้งานได้

ขณะพัฒนาแอปและทดสอบการกำหนดค่าต่างๆ สำหรับ กฎ ให้ใช้ โปรแกรมจำลอง Firebase ในเครื่อง เพื่อเรียกใช้แอป ในสภาพแวดล้อมในการพัฒนาซอฟต์แวร์ในเครื่อง

สถานการณ์ที่พบบ่อยเกี่ยวกับกฎที่ไม่ปลอดภัย

คุณควรตรวจสอบและอัปเดต Security Rules ที่คุณอาจตั้งค่าไว้โดยค่าเริ่มต้นหรือขณะที่เริ่ม พัฒนาแอปก่อนที่จะทำให้แอปใช้งานได้ ตรวจสอบว่าคุณได้รักษาความปลอดภัยข้อมูลของผู้ใช้อย่างเหมาะสม โดยหลีกเลี่ยงข้อผิดพลาดที่พบบ่อยต่อไปนี้

การเข้าถึงแบบเปิด

เมื่อตั้งค่าโปรเจ็กต์ Firebase คุณอาจตั้งค่ากฎให้สิทธิ์เข้าถึงแบบเปิดในระหว่างการพัฒนา คุณอาจคิดว่าคุณเป็นคนเดียวที่ใช้แอป แต่หากคุณทำให้แอปใช้งานได้แล้ว แอปจะพร้อมใช้งานบนอินเทอร์เน็ต หากคุณไม่ได้ตรวจสอบสิทธิ์ผู้ใช้และกำหนดค่ากฎการรักษาความปลอดภัย ทุกคนที่เดารหัสโปรเจ็กต์ของคุณได้จะขโมย แก้ไข หรือลบข้อมูลได้

ไม่แนะนำ: สิทธิ์การอ่านและการเขียนสำหรับ ผู้ใช้ทุกคน

Cloud Firestore

// Allow read/write access to all users under any conditions
// Warning: **NEVER** use this ruleset in production; it allows
// anyone to overwrite your entire database.

service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if true;
    }
  }
}

Realtime Database

{
  // Allow read/write access to all users under any conditions
  // Warning: **NEVER** use this ruleset in production; it allows
  // anyone to overwrite your entire database.

  "rules": {
    ".read": true,
    ".write": true
  }
}

Cloud Storage

// Anyone can read or write to the bucket, even non-users of your app.
// Because it is shared with App Engine, this will also make
// files uploaded using App Engine public.
// Warning: This rule makes every file in your Cloud Storage bucket accessible to any user.
// Apply caution before using it in production, since it means anyone
// can overwrite all your files.

service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write;
    }
  }
}

วิธีแก้ปัญหา: กฎที่จำกัดสิทธิ์การอ่านและ การเขียน

สร้างกฎที่สมเหตุสมผลสำหรับลำดับชั้นของข้อมูล วิธีแก้ปัญหาที่พบบ่อยอย่างหนึ่งสำหรับความไม่ปลอดภัยนี้คือการรักษาความปลอดภัยตามผู้ใช้ด้วย Firebase Authentication ดูข้อมูลเพิ่มเติม เกี่ยวกับ การตรวจสอบสิทธิ์ผู้ใช้ด้วยกฎ

Cloud Firestore

เฉพาะเจ้าของเนื้อหา

service cloud.firestore {
  match /databases/{database}/documents {
    // Allow only authenticated content owners access
    match /some_collection/{document} {
      // Allow reads and deletion if the current user owns the existing document
      allow read, delete: if request.auth.uid == resource.data.author_uid;
      // Allow creation if the current user owns the new document
      allow create: if request.auth.uid == request.resource.data.author_uid;
      // Allow updates by the owner, and prevent change of ownership
      allow update: if request.auth.uid == request.resource.data.author_uid
                    && request.auth.uid == resource.data.author_uid;

    }
  }
}

การเข้าถึงแบบสาธารณะและส่วนตัวผสมกัน

service cloud.firestore {
  match /databases/{database}/documents {
    // Allow public read access, but only content owners can write
    match /some_collection/{document} {
      // Allow public reads
      allow read: if true
      // Allow creation if the current user owns the new document
      allow create: if request.auth.uid == request.resource.data.author_uid;
      // Allow updates by the owner, and prevent change of ownership
      allow update: if request.auth.uid == request.resource.data.author_uid
                    && request.auth.uid == resource.data.author_uid;
      // Allow deletion if the current user owns the existing document
      allow delete: if request.auth.uid == resource.data.author_uid;
    }
  }
}

Realtime Database

เฉพาะเจ้าของเนื้อหา

{
  "rules": {
    "some_path": {
      "$uid": {
        // Allow only authenticated content owners access to their data
        ".read": "auth !== null && auth.uid === $uid",
        ".write": "auth !== null && auth.uid === $uid"
      }
    }
  }
}

การเข้าถึงแบบสาธารณะและส่วนตัวผสมกัน

{
  // Allow anyone to read data, but only authenticated content owners can
  // make changes to their data

  "rules": {
    "some_path/$uid": {
      ".read": true,
      // or ".read": "auth.uid !== null" for only authenticated users
      ".write": "auth.uid === $uid"
    }
  }
}

Cloud Storage

เฉพาะเจ้าของเนื้อหา

// Grants a user access to a node matching their user ID
service firebase.storage {
  match /b/{bucket}/o {
    // Files look like: "user/<UID>/file.txt"
    match /user/{userId}/{fileName} {
      allow read, write: if request.auth.uid == userId;
    }
  }
}

การเข้าถึงแบบสาธารณะและส่วนตัวผสมกัน

service firebase.storage {
  match /b/{bucket}/o {
    // Files look like: "user/<UID>/file.txt"
    match /user/{userId}/{fileName} {
      allow read;
      allow write: if request.auth.uid == userId;
    }
  }
}

สิทธิ์เข้าถึงสำหรับผู้ใช้ที่ผ่านการตรวจสอบสิทธิ์แล้ว

บางครั้งSecurity Rulesจะตรวจสอบว่าผู้ใช้ได้เข้าสู่ระบบแล้ว แต่ไม่ได้จำกัดสิทธิ์เข้าถึงเพิ่มเติม ตามการตรวจสอบสิทธิ์นั้น หากกฎข้อใดข้อหนึ่งมี auth != null ให้ยืนยันว่าคุณต้องการให้ผู้ใช้ที่เข้าสู่ระบบทุกคนมีสิทธิ์เข้าถึงข้อมูล

ไม่แนะนำ: ผู้ใช้ที่เข้าสู่ระบบทุกคนมีสิทธิ์การอ่าน และการเขียนฐานข้อมูลทั้งหมด

Cloud Firestore

service cloud.firestore {
  match /databases/{database}/documents {
    match /some_collection/{document} {
      allow read, write: if request.auth.uid != null;
    }
  }
}

Realtime Database

{
  "rules": {
    ".read": "auth.uid !== null",
    ".write": "auth.uid !== null"
  }
}

Cloud Storage

// Only authenticated users can read or write to the bucket
service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write: if request.auth != null;
    }
  }
}

วิธีแก้ปัญหา: จำกัดสิทธิ์เข้าถึงโดยใช้เงื่อนไขด้านความปลอดภัย

เมื่อตรวจสอบการตรวจสอบสิทธิ์ คุณอาจต้องการใช้พร็อพเพอร์ตี้การตรวจสอบสิทธิ์รายการใดรายการหนึ่งเพื่อจำกัดสิทธิ์เข้าถึงผู้ใช้บางรายสำหรับชุดข้อมูลบางชุดเพิ่มเติม ดูข้อมูลเพิ่มเติมเกี่ยวกับพร็อพเพอร์ตี้การตรวจสอบสิทธิ์ต่างๆ

Cloud Firestore

สิทธิ์เข้าถึงตามบทบาท

service cloud.firestore {
  match /databases/{database}/documents {
    // Assign roles to all users and refine access based on user roles
    match /some_collection/{document} {
     allow read: if get(/databases/$(database)/documents/users/$(request.auth.uid)).data.role == "Reader"
     allow write: if get(/databases/$(database)/documents/users/$(request.auth.uid)).data.role == "Writer"

     // Note: Checking for roles in your database using `get` (as in the code
     // above) or `exists` carry standard charges for read operations.
    }
  }
}

สิทธิ์เข้าถึงตามแอตทริบิวต์

// Give each user in your database a particular attribute
// and set it to true/false
// Then, use that attribute to grant access to subsets of data
// For example, an "administrator" attribute set
// to "true" grants write access to data

service cloud.firestore {
  match /databases/{database}/documents {
    match /some_collection/{document} {
      allow write: if get(/databases/$(database)/documents/users/$(request.auth.uid)).data.admin == true;
      allow read: true;
    }
  }
}

การเข้าถึงแบบสาธารณะและส่วนตัวผสมกัน

service cloud.firestore {
  match /databases/{database}/documents {
    // Allow public read access, but only content owners can write
    match /some_collection/{document} {
      allow read: if true
      allow write: if request.auth.uid == request.resource.data.author_uid
    }
  }
}

Realtime Database

เฉพาะเจ้าของเนื้อหา

{
  "rules": {
    "some_path": {
      "$uid": {
        // Allow only authenticated content owners access to their data
        ".read": "auth.uid === $uid",
        ".write": "auth.uid === $uid"
      }
    }
  }
}

สิทธิ์เข้าถึงที่กำหนดตามเส้นทาง

{
  "rules": {
    "some_path/$uid": {
      ".write": "auth.uid === $uid",
      // Create a "public" subpath in your dataset
      "public": {
        ".read": true
        // or ".read": "auth.uid !== null"
      },
      // Create a "private" subpath in your dataset
      "private": {
        ".read": "auth.uid === $uid"
      }
    }
  }
}

การเข้าถึงแบบสาธารณะและส่วนตัวผสมกัน

{
  // Allow anyone to read data, but only authenticated content owners can
  // make changes to their data

  "rules": {
    "some_path/$uid": {
      ".read": true,
      // or ".read": "auth.uid !== null" for only authenticated users
      ".write": "auth.uid === $uid"
    }
  }
}

Cloud Storage

สิทธิ์เข้าถึงตามกลุ่ม

// Allow reads if the group ID in your token matches the file metadata `owner` property
// Allow writes if the group ID is in the user's custom token
match /files/{groupId}/{fileName} {
  allow read: if resource.metadata.owner == request.auth.token.groupId;
  allow write: if request.auth.token.groupId == groupId;
}

เฉพาะเจ้าของเนื้อหา

// Grants a user access to a node matching their user ID
service firebase.storage {
  match /b/{bucket}/o {
    // Files look like: "user/<UID>/file.txt"
    match /user/{userId}/{fileName} {
      allow read, write: if request.auth.uid == userId;
    }
  }
}

การเข้าถึงแบบสาธารณะและส่วนตัวผสมกัน

service firebase.storage {
  match /b/{bucket}/o {
    // Files look like: "user/<UID>/file.txt"
    match /user/{userId}/{fileName} {
      allow read;
      allow write: if request.auth.uid == userId;
    }
  }
}

(Realtime Database) กฎที่รับค่าเดิมมาอย่างไม่เหมาะสม

Realtime Database Security Rules จะเรียงซ้อนกัน โดยกฎในเส้นทางระดับบนจะลบล้าง กฎในโหนดระดับล่าง เมื่อเขียนกฎในโหนดระดับล่าง โปรดทราบว่ากฎดังกล่าวจะให้สิทธิ์เพิ่มเติมได้เท่านั้น คุณไม่สามารถปรับแต่งหรือเพิกถอนสิทธิ์เข้าถึงข้อมูลในเส้นทางระดับล่างในฐานข้อมูลได้

ไม่แนะนำ: การปรับแต่งกฎในเส้นทางระดับล่าง

{
  "rules": {
     "foo": {
        // allows read to /foo/*
        ".read": "data.child('baz').val() === true",
        "bar": {
          /* ignored, since read was allowed already */
          ".read": false
        }
     }
  }
}

วิธีแก้ปัญหา: เขียนกฎในเส้นทางระดับบน ที่ครอบคลุม และให้สิทธิ์ที่เฉพาะเจาะจงมากขึ้นในเส้นทางระดับล่าง หากความต้องการสิทธิ์เข้าถึงข้อมูลของคุณต้องมีความละเอียดมากขึ้น ให้รักษากฎให้มีความละเอียด ดูข้อมูลเพิ่มเติมเกี่ยวกับการเรียงซ้อน Realtime Database Security Rules ใน ไวยากรณ์หลักของ Realtime Database Security Rules

สิทธิ์เข้าถึงแบบปิด

ขณะพัฒนาแอป อีกแนวทางที่พบบ่อยคือการล็อกข้อมูลไว้ โดยปกติแล้ววิธีนี้หมายความว่าคุณได้ปิดสิทธิ์การอ่านและการเขียนสำหรับผู้ใช้ทุกคน ดังนี้

Cloud Firestore

// Deny read/write access to all users under any conditions
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if false;
    }
  }
}

Realtime Database

{
  "rules": {
    ".read": false,
    ".write": false
  }
}

Cloud Storage

// Access to files through Cloud Storage is completely disallowed.
// Files may still be accessible through App Engine or Google Cloud Storage APIs.

service firebase.storage {
  match /b/{bucket}/o {
    match /{allPaths=**} {
      allow read, write: if false;
    }
  }
}

Firebase Admin SDK และ Cloud Functions ยังคงเข้าถึงฐานข้อมูลของคุณได้ ใช้กฎเหล่านี้เมื่อคุณต้องการใช้ Cloud Firestore หรือ Realtime Database เป็นแบ็กเอนด์แบบเซิร์ฟเวอร์เท่านั้น ร่วมกับ Firebase Admin SDK แม้ว่าวิธีนี้จะปลอดภัย แต่คุณควรทดสอบว่าไคลเอ็นต์ของแอปดึงข้อมูลได้อย่างถูกต้อง

ดูข้อมูลเพิ่มเติมเกี่ยวกับ Cloud Firestore Security Rules และวิธีการทำงานใน เริ่มต้นใช้งาน Cloud Firestore Security Rules

ทดสอบ Cloud Firestore Security Rules

หากต้องการตรวจสอบลักษณะการทำงานของแอปและยืนยันการกำหนดค่า Cloud Firestore Security Rules ของคุณ ให้ใช้ โปรแกรมจำลอง Firebase ใช้Cloud Firestore โปรแกรมจำลองเพื่อเรียกใช้และทำการทดสอบหน่วยโดยอัตโนมัติในสภาพแวดล้อมในเครื่องก่อนที่จะทำให้ การเปลี่ยนแปลงใดๆ ใช้งานได้

หากต้องการตรวจสอบFirebase Security Rulesอย่างรวดเร็วในคอนโซลFirebase ให้ใช้ เครื่องมือจำลองกฎของ Firebase