是否可以通過計算機向Firebase僞造設備請求？

Question

我們假設這種情況：
我使用通用唯一標識符來標識我的用戶而不是密碼（我有我的理由）。
我使用Shared Preferences存儲UUID，因此它存儲在設備中。
我想知道如果某些用戶（不同於使用我的應用程序的合法人員）在從手機檢索到UUID（在植入電話後）後可以使用該UUID向Firebase發出請求並獲取有關合法用戶的敏感信息。

非常感謝您的幫助。

Answer 1

使用單一標識符對用戶進行身份驗證，而不是電子郵件+密碼（或者更好的電子郵件+密碼+第二個因素）的組合將永遠不太安全。

一旦惡意行爲者截獲標識符，他們可以永遠代表該用戶執行操作。 Firebase身份驗證令牌不容易受到此類攔截，因爲它們每小時都會刷新一次。

如果您不想要求用戶登錄，請考慮使用Firebase Authentication's anonymous sign-in。這會給你每小時刷新一次，這是你目前的方法所缺失的。