Безопасность Firebase - Сделки

Question

Использование транзакций в Firebase - отличный способ для атомарного изменения данных, но как узнать, что пользователь действительно использует мой код для вставки данных?

Например, что делать, если пользователь получает ссылку на местоположение данных (используя консоль браузера) и перезаписывает предыдущие данные с использованием set вместо того, чтобы нажимать на мою предварительно запрограммированную кнопку, которая использует в фоновом режиме transaction?

Update (пример):

var wilmaRef = new Firebase('https://docs-examples.firebaseio.com/samplechat/users/wilma'); 
wilmaRef.transaction(function(currentData) { 
    if (currentData === null) { 
    return { name: { first: 'Wilma', last: 'Flintstone' } }; 
    } else { 
    console.log('User wilma already exists.'); 
    return; // Abort the transaction. 
    } 
}); 

Теперь, если пользователь использует:

wilmaRef.set({name: { first: 'Wilma', last: 'Flintstone' }}); 

Answer 1

База данных Firebase не имеет возможности гарантировать, что это определенный кусок кода, который делает модификация. См. Мой ответ на этот вопрос, чтобы узнать больше о том, почему знание URL-адреса ресурса не является угрозой безопасности. How to restrict Firebase data modification?

Работы по защите Firebase основаны на знании того, кто является пользователем, и позволяют им выполнять конкретные операции чтения/записи на основе этих знаний. Как только вы примете это мышление, не имеет значения, использует ли кто-нибудь консоль JavaScript для внесения изменений в базу данных, расположенную за вашим Android-приложением. Пока JavaScript следует правилам, которые вы установили для пользователя, который его запускает, изменения в базе данных разрешены.