Firebase Security Rules: jangan biarkan database-mu terbuka

Tolak secara default dan berikan akses per collection. Di sini setiap user hanya bisa membaca dan menulis dokumennya sendiri di users, dan tidak ada hal lain yang bisa dijangkau.

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /users/{userId} {
      allow read, write: if request.auth != null
        && request.auth.uid == userId;
    }
    // Every other path is denied by default.
  }
}

Batasi field mana yang boleh diubah user agar mereka tidak bisa menaikkan hak aksesnya sendiri atau mengutak-atik data yang dikelola server. affectedKeys().hasOnly() menolak update apa pun yang menyentuh field lain.

match /users/{userId} {
  allow update: if request.auth.uid == userId
    && request.resource.data.diff(resource.data)
         .affectedKeys().hasOnly(["displayName", "photoURL"]);
}

Cari di rules-mu match /{document=**} yang dikombinasikan dengan allow yang luas, if true, dan timestamp test mode yang bisa kedaluwarsa. Ingat bahwa Cloud Storage dan Realtime Database punya file rules terpisah — kunci juga keduanya.

Pakai Rules Playground di Firebase console atau Emulator Suite dengan @firebase/rules-unit-testing untuk menjalankan read sebagai user yang tidak terautentikasi dan sebagai user lain yang sudah login. Pengecekan eksternal yang cepat adalah request REST tanpa autentikasi — kalau mengembalikan dokumen, collection itu publik.

curl "https://firestore.googleapis.com/v1/projects/<project-id>/databases/(default)/documents/users"