Firebase: 신원, 권한, 저장소, 메시지 구분하기

Firebase에는 SDK, 접근 통제, 요금 조건이 다른 서비스가 있습니다. 사용자 식별은 모든 데이터에 대한 허가가 아닙니다. 서비스마다 보안과 비용을 평가해야 합니다.

인증과 권한 부여

Firebase Authentication은 로그인을 관리하며 권한은 별도로 정해야 합니다. Cloud Firestore의 웹·모바일 클라이언트는 Security Rules를 사용합니다. 서버 라이브러리는 이를 우회하고 IAM을 사용하므로 한 통제가 두 경로를 모두 덮는다고 가정하면 안 됩니다. 문서의 웹 MFA는 Firebase Authentication with Identity Platform을 요구합니다.

데이터와 파일

Cloud Firestore와 Realtime Database는 별도 데이터베이스 서비스이고 Cloud Storage는 파일 같은 객체를 저장합니다. 단일 보안 규칙을 공유하지 않습니다. 현재 FAQ는 기존 버킷을 포함한 Cloud Storage for Firebase 사용에 Blaze를 요구하지만 무료 사용량이 남을 수 있습니다. 무료 구조라고 소개하기 전에 할당량과 청구를 확인합니다.

FCM 알림

FCM HTTP v1은 단기 OAuth 2.0 접근 토큰 등을 통한 서버 권한을 사용합니다. 관리 자격 증명을 클라이언트에 넣지 말고 신뢰할 수 있는 환경에서 전송합니다. 기기 등록 토큰은 수신 대상을 식별하며 사용자 ID 토큰이나 업무 권한이 아닙니다.

세션과 운영

ID 토큰, 갱신 토큰, 취소를 구분합니다. 암호학적 유효성이 지속적인 권한을 입증하지는 않습니다. 필요한 로그, 보관 기간, 비용 경고, 리소스별 통제를 정합니다. Firebase가 자동으로 GDPR 준수를 보장하지는 않습니다.

출처

• Firebase · Firestore Security Rules
• Firebase · Web multi-factor authentication
• Firebase · Cloud Storage billing requirements
• Firebase · FCM HTTP v1
• Firebase · Manage User Sessions

편집 검토: 2026년 11월 1일.

{
    "page_1_ids": [
        "A",
        "B"
    ],
    "page_2_ids": [
        "B",
        "C"
    ],
    "next_cursor": "c2",
    "empty_page_has_next_cursor": true
}

{
    "old_origin": "https://login.old.example",
    "old_rp_id": "old.example",
    "new_origin": "https://login.new.example",
    "new_rp_id": "new.example",
    "same_service_account": true,
    "expected": "authenticated_new_registration"
}