如果不需要站点登录,是否可以使数据库(Cloud Firestore)不安全？

Question

我正在建造一个游戏Angular和(有史以来第一次)我正在尝试添加一个高分表.我已经建立了一个Firebase帐户并使Firestore (Beta)数据库工作并连接起来.

我想要一个非常简单的高分系统.用户无需登录或创建帐户,您只需打开,播放,然后,如果您获得高分,请输入您的姓名,并将其记录并显示在表格中.

所以我的问题是 - 在不需要登录且仅保存基本名称/分数/时间戳数据的情况下,是否可以将我的安全规则保留如下,或者是否有更好的方法来构建它们？

service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write;
    }
  }
}

事实上,我得到一个警告,我的数据库对任何有参考的人开放,但在我的特殊情况下这真的很糟糕吗？有没有这个问题,我没有看到数据库newb？

任何建议都会很棒,因为这对我来说是一个新的(和复杂的)领域.

干杯

Answer 1

我希望我可以在这里使用红色闪烁带下划线的文本,但是您绝对不应该使用此规则集保留数据库.

玩游戏的任何人都会看到您的数据库.使用规则集,任何人都可以读取和写入数据库(不仅仅是您的记分板).您将允许任何人使用您的数据库运行自己的系统,并向您的帐户收取费用.

至少,根据您提供的描述,您应该:

• 只允许阅读和写入您的记分板集合
• 验证分数是有效值(例如,整数并且在特定范围内
• 验证名称是否为有效值(有助于防止可能的XSS攻击)
• 验证除文档之外的其他字段score并将name其写入文档(因此人们无法隐藏其他有效负载).