Firebase：区分身份、权限、存储与通知

Firebase包含SDK、访问控制和定价条件不同的服务。识别用户不代表允许其访问全部数据。应逐项评估安全与成本。

认证与授权

Firebase Authentication管理登录，权限仍需单独定义。Cloud Firestore的网页及移动客户端使用Security Rules；服务器客户端库绕过这些规则并使用IAM，因此不能认为同一控制覆盖两条路径。文档中的网页MFA要求Firebase Authentication with Identity Platform。

数据与文件

Cloud Firestore和Realtime Database是不同数据库服务；Cloud Storage保存文件等对象。它们不共用一条安全规则。当前FAQ要求Cloud Storage for Firebase使用Blaze，包括既有存储桶，但仍可能有免费用量。声称架构免费之前，应核对配额与计费。

FCM通知

FCM HTTP v1使用服务器授权，包括短期OAuth 2.0访问令牌。应从可信环境发送，不能把管理凭据嵌入客户端。设备注册令牌用于定位接收目标，不是用户ID令牌或业务权限。

会话与运行

区分ID令牌、刷新令牌及撤销。密码学有效性并不能证明账户持续获权。应确定必要日志、保存期限、成本告警与资源级控制。Firebase不会自动使处理符合GDPR。

来源

• Firebase · Firestore Security Rules
• Firebase · Web multi-factor authentication
• Firebase · Cloud Storage billing requirements
• Firebase · FCM HTTP v1
• Firebase · Manage User Sessions

编辑核验日期：2026年11月1日。

{
    "page_1_ids": [
        "A",
        "B"
    ],
    "page_2_ids": [
        "B",
        "C"
    ],
    "next_cursor": "c2",
    "empty_page_has_next_cursor": true
}

{
    "old_origin": "https://login.old.example",
    "old_rp_id": "old.example",
    "new_origin": "https://login.new.example",
    "new_rp_id": "new.example",
    "same_service_account": true,
    "expected": "authenticated_new_registration"
}