firebaseをウェブで利用する場合のAPI Key等の扱いについて

Question

現在、firebaseを使ったウェブアプリを作成してます。

公式のガイドを参考にしてますが、初期化のコードスニペットには、以下のようにAPIキーやプロジェクトIDが記載されています。

  var config = {
    apiKey: "<API_KEY>",
    authDomain: "<PROJECT_ID>.firebaseapp.com",
    databaseURL: "https://<DATABASE_NAME>.firebaseio.com",
    storageBucket: "<BUCKET>.appspot.com",
    messagingSenderId: "<SENDER_ID>",
  };

ウェブなので、誰でもコードが見れてしまいますが、この値の管理ってみなさんどうしてますか？

いろいろウェブで検索行いましたが、firebaseについて情報を見つけることができませんでした。

見られても問題ないのか、暗号化を行っているとか、その場合、その情報はどこに保存しているとか、実際に利用されている方の意見を聞きたく、質問しました。

承認済ドメインの指定はありますが、localhostとかで接続できるので・・・。

今まで、社内で利用するウェブシステムの作成経験はありますが、オープンなウェブアプリの場合のセキュリティについては、あまり経験がなく、こういった場合どう対処するのが、より良いのか教えていただけないでしょうか？

Answer 1

私は、Realtime Database へ接続するための情報として、割り切って使っているので、特に隠すとかしていないです。
実際の DB への操作権限は、アクセスルールを別で設定することになるので、セキュリティ上問題ないと思います。。。が、正直他の方の意見も聞いてみたいです＾＾；

Comments

[mithan]

自分も最初同じように考えてアプリを作ってました。

でも、あるウェブAPIを使おうとして調べてたら、URLにパラメータとしてアプリIDを指定する必要があるのに、利用規約で「アプリIDを他人に知られないように管理すること」みたいな記述があって、見られるの前提じゃないの？、何か方法あるの？って思ったのが切っ掛けで、調べなおしてました。

結局、そのウェブAPIの対処も分からないままですが・・・何か、「こんな対処している」みたいな人がいれば、話を聞きたいと思い、質問したしだいです。