将NodeJ与Firebase一起使用 - 安全性

Question

由于需要做一些服务器端代码 - 主要是发送电子邮件,我决定使用Nodejs&Express作为服务器端元素以及Firebase来保存数据 - 部分来自学习经验.

我的问题是在使用Simple Email&Password API进行身份验证时使用客户端Firebase库和Nodejs库的最佳方法.如果我执行身份验证客户端,然后在NodeJS端调用不同的路由,则会在请求中执行该用户的身份验证.在Node中验证测试用户的方法是什么.

我假设的一种方法是从firebase获取当前用户的用户名和密码,然后将这些用户名和密码发布到NodeJS,然后使用服务器上的firebase安全API进行测试.

Answer 1

基本上这里的问题是你需要安全地传达给你的NodeJS服务器谁客户端已经过Firebase认证.有几种方法可以解决这个问题,但最简单的方法可能就是让所有客户端< - > NodeJS通信都通过Firebase本身.

因此,不要让客户端访问由NodeJS服务器提供服务的REST端点,而是让客户端写入您的NodeJS服务器正在监控的Firebase位置.然后,您可以使用Firebase安全规则来验证客户端写入的数据,并且您的服务器可以信任它.

例如,如果您想要这样做,那么用户可以通过您的应用程序发送任意电子邮件(您的NodeJS服务器负责实际发送电子邮件),您可以拥有/ emails_to_send位置,其规则如下:

{
  "rules": {
    "emails_to_send": {
      "$id": {
        ".write": "!data.exists() && newData.child('from').val() == auth.email",
        ".validate": "newData.hasChildren(['from', 'to', 'subject', 'body'])"
      }
    }
  }
}

然后在客户端,你可以做:

ref.child('emails_to_send').push({
  from: 'my_email@foo.com', 
  to: 'joe@example.com', 
  subject: 'hi', 
  body: 'Hey, how\'s it going?'
});

在您的NodeJS代码中,您可以使用Firebase Secret调用.auth()(这样您就可以读取和写入所有内容),然后执行以下操作:

ref.child('emails_to_send').on('child_added', function(emailSnap) {
  var email = emailSnap.val();
  sendEmailHelper(email.from, email.to, email.subject, email.body);

  // Remove it now that we've processed it.
  emailSnap.ref().remove();
});

这将是最简单,也是最正确的解决方案.例如,如果用户通过Firebase注销,他们将无法再写入Firebase,因此他们将无法再让您的NodeJS服务器发送电子邮件,这很可能是您想要的行为.这也意味着如果您的服务器暂时关闭,当您重新启动它时,它将"赶上"发送电子邮件,一切都将继续有效.