具有客户端/应用程序身份验证而非用户身份验证的Firebase Android应用程序

Question

我的应用没有个人用户，而是有一些由客户端生成并可以被其他人看到的数据，例如公共聊天频道，用户名也是临时的。

我不需要对每个用户帐户数据进行身份验证。而是仅在请求来自我的应用程序的情况下才应提供，否则应不会提供。我看到有用户身份验证，但这意味着我必须跟踪uids等，这也增加了数据存储，另一个选择是，如果我删除auth（将读/写设置为public）并从应用程序中调用数据更改。

我可以在Android应用中使用服务器使用的应用机密功能吗？这是服务器的规则：

{
  "rules": {
    ".read": true,
    ".write": "auth.uid = 'myserver'"
  }
}

如何使其适用于我的Android应用程序？

当只有我知道url并且只有我的程序包是通过服务器上的android app选项配置的时，如果没有身份验证（设置读/写公共），我的应用程序怎么会不安全？

除了用户身份验证之外，还有什么方法可以确保数据安全？

Answer 1

我知道你问这个问题已经有几年了，但我想让你知道这现在终于成为可能。

借助名为Firebase App Check的新功能，现在实际上可以将对实时数据库的调用限制为仅来自在 Firebase 项目中注册的 iOS、Android 和 Web 应用程序的请求。

您通常希望将其与安全规则提供的基于用户身份验证的安全性结合起来，以便用户只能执行他们被授权执行的操作。但就您而言，仅应用程序检查可能就足够了。