Firebase中的SQL注入

Question

Firebase是一个noSQL数据库，其工作方式与SQL不同，因此我们如何清理数据？例如，即使在firebase文档中，我似乎也找不到用于firebase数据库的mysqli_real_escape_string命令。有人可以建议我吗？也将不胜感激，如果有人可以给我发送有关此主题的论坛链接，等等。

Answer 1

Firebase实时数据库（和Firestore）不容易受到SQL注入攻击。

首先，了解什么是SQL注入攻击很有帮助。请阅读本文以帮助您理解。请注意，使用SQL注入，根本问题是开发人员必须编写代码才能构建要运行的SQL命令，并且攻击者可以巧妙地修改构建（如果执行不正确），以执行他们想要的操作。

使用Firebase，您无需构建SQL命令（或由需要转义的由各个部分组成的任何字符串命令）来执行查询。而是使用SDK提供的API，并传递由API自动管理的字符串。这意味着SQL注入在这里不是问题。没有SQL注入是因为没有SQL（毕竟是noSQL！）。

确保最终用户对数据的访问权限不超过其应获得的权限，您需要使用Firebase身份验证并实施描述谁有权访问哪些数据的安全规则。