

私は今、firebaseを用いて、オープンソースでアプリケーションを作っています。

そのプロジェクトでは、firebase
authenticationで認証されたユーザがクライアントJavaScriptからfirestoreを書き換えています。

firebaseの構成情報は、webに公開しても構わないもののはず(JSコードにハードコードして良いことになっているので)ですが、もし悪意ある者が私の構成情報をコピーして、自作のアプリケーションから私のアプリケーションのユーザとしてfirebase
authenticationを実行した場合、その悪意あるアプリ〜ションもfirestoreのルールを回避して書き込めてしまうのではないですか?

firebaseのOAuth2.0では既定でlocalhostが許可されていますが、それを削除しないといけない、ということでしょうか。  
firebaseのセキュリティの仕組みがわかりません。

なぜfirebaseでは構成類を公開しても問題ないのでしょう?  
どうすれば悪意あるアクセスを回避し、私のアプリケーションでのみデータベースにアクセスできるようにできますか?


CC BY-SA 4.0
2020-05-09T12:51:08.663
66463
2020-05-09T12:51:08.663
31778
question
firebase
firestoreの読み書きを自分のアプリ以外から禁止したい