Firebase Security Rules: lass deine Datenbank nicht offen

Verweigere standardmäßig alles und gewähre Zugriff pro Collection. Hier kann jeder Nutzer nur sein eigenes Dokument in users lesen und schreiben, alles andere ist nicht erreichbar.

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /users/{userId} {
      allow read, write: if request.auth != null
        && request.auth.uid == userId;
    }
    // Every other path is denied by default.
  }
}

Beschränke, welche Felder ein Nutzer ändern darf, damit er sich nicht selbst höhere Rechte gibt oder serververwaltete Daten manipuliert. affectedKeys().hasOnly() lehnt jedes Update ab, das andere Felder berührt.

match /users/{userId} {
  allow update: if request.auth.uid == userId
    && request.resource.data.diff(resource.data)
         .affectedKeys().hasOnly(["displayName", "photoURL"]);
}

Durchsuche deine Rules nach match /{document=**} in Kombination mit einem breiten allow, nach if true und nach ablaufenden Test-Modus-Zeitstempeln. Denk daran, dass Cloud Storage und Realtime Database eigene Rules-Dateien haben — sichere auch diese ab.

Nutze den Rules Playground in der Firebase-Konsole oder die Emulator Suite mit @firebase/rules-unit-testing, um Lesezugriffe als nicht authentifizierter Nutzer und als anderer angemeldeter Nutzer auszuführen. Ein schneller externer Check ist ein nicht authentifizierter REST-Request — liefert er Dokumente zurück, ist die Collection öffentlich.

curl "https://firestore.googleapis.com/v1/projects/<project-id>/databases/(default)/documents/users"