Firebaseのauth.uidの扱い

Question

firebaseのauth.uidについてです。

ユーザーAのuidがユーザーBに知られた場合、Bは自分のrequest.auth.uidを書き換えて本来Aさんしかアクセスできないアイテムにアクセスできますか？

また、こういった知識はどのように学べばよいでしょうか。

回答よろしくお願いします。

Answer 1

ユーザーAのuidがユーザーBに知られた場合、Bは自分のrequest.auth.uidを書き換えて本来Aさんしかアクセスできないアイテムにアクセスできますか？

可能か不可能で言えば可能ですが、その可能性は限りなく低いというのが回答となります。
Aのuidを盗んで書き換えること自体ハードルの高い話ですが、さらにBはAの認証トークンも盗む必要があります。
この認証トークンの有効期間は短く、1時間で期限切れとなります。
ただ、その有効な１時間の間にトークンが盗まれる可能性はあると言えばあるので、そこまで心配される場合は、IP アドレスの制限等を行われるのが良いと思います。

こういった知識はどのように学べばよいでしょうか。

基本的には公式ドキュメントをしっかり読むしかないですね。
こういった外部サービスの詳細仕様については、中の人ではない限りみんな同じ土俵です。
特にセキュリティ部分の仕様については公開されにくいので、公式で公開されている範囲内で学習するしかないというのが実際のところです。

Comments

[user14]

丁寧な回答ありがとうございました！