Может ли кто-то взломать или злоупотребить UID пользователя в Firestore, открыто указанного в документе

(Мое приложение требует аутентификации), => Я создаю коллекцию THINGS, и пользователи из коллекции USER могут писать в нее документы.

  • Когда они пишут в него, автоматически создается идентификатор документа, но для запроса документа я добавляю в него поле с именем uploaders_UID, которое будет иметь UID загрузчик (чтобы он мог найти свои загрузки).

  • Теперь есть еще один класс пользователей PROUSERS (также прошедших проверку подлинности), которым не нужно знать UID, чтобы просматривать документы в коллекции < em> ВЕЩИ.

  • Итак, мой вопрос касается тех пользователей в PROUSERS, которым не требуется UID, по-прежнему получают снимок с UID, и кому-то легко извлечь UID, наверное.

    1. What are the consequences of doing such a thing and is it dangerous, can i do it?
    2. что все вещи PROUSER могут делать с UID другого пользователя (говоря, что коллекция THINGS доступна для записи только ПОЛЬЗОВАТЕЛЯМ, если они аутентифицирован),

firebase firebase-authentication google-cloud-firestore uid
person Crucifix    schedule 19.05.2020    source источник

Ответы (1)


arrow_upward
0
arrow_downward

Из того, что я понял о потоке вашего приложения, PROUSER сможет только читать все загрузки, но не редактировать / удалять документы, которые были созданы не им самим.

Если это так, то реальной проблемы с доступом PROUSERS к uid нет, если вы установили какой-то контроль над тем, что пользователю разрешено делать или нет, в соответствии с правилами firebase вашего firestore, вы можете найти более подробную информацию о том, как это сделать, в этой документации и в этом видео.

Еще одна вещь, которую вы можете сделать, - это «замаскировать» документ, полученный из базы данных, присвоив значения его поля объекту JSON, не допуская uid.

person Rafael Lemos    schedule 20.05.2020
comment
Да, PROUSER сможет только читать документы, и это правило будет установлено на вкладке правил Firebase, я не хочу скрывать UID, поскольку PROUSER понадобится для запроса всех документов ПОЛЬЗОВАТЕЛЯ в другом случае, это что нормально делать? спасибо за ваш ответ! - person Crucifix; 21.05.2020
comment
Все лежит в правилах Firebase, если они установлены с правильной авторизацией, проблем с этим нет. - person Rafael Lemos; 21.05.2020