48856


AさんのuidをBさんが知った場合、Bさんは自分のrequest.auth.uidをねつ造して本来Aさんしかアクセスできないアイテムにアクセスできますか？

それともuidが他のユーザに見えても大丈夫ですか？


CC BY-SA 4.0
2018-09-30T10:29:31.430
48850
2019-07-30T08:01:20.460
30294
question
firebase
Firebase auth uidの扱いについて


バックエンドにWEBAPIなどが存在し、そこでFirebaseのUIDをキーに何か個人情報をHTTPで検索する場合などは当然脆弱性の余地がありますが、FirebaseのUIDをユーザーに知られても、FirebaseAPIから個人情報を抜かれることはありません。  
ただ、基本的にBtoC系のサービスで、バックエンドで管理しているユーザーの一意キーを公開するのはおすすめしません。


CC BY-SA 4.0
2018-09-30T15:06:29.673
48856
2018-09-30T15:06:29.673
8396
48850
answer