mcpField
F
firebase-security-rules-auditor

firebase-security-rules-auditor

官方
github.com/firebase安全491139.9k 次安装1 天前更新
代码仓库

关于 firebase-security-rules-auditor

firebase-security-rules-auditor 是一个用于审计 Firebase Security Rules 的 skill，面向需要检查 Firestore 规则安全性的开发者。它以攻击者视角逐项检查规则，并按 1 至 5 分给出评分与问题列表。

主要功能

  1. 01按检查清单审计 Firestore 规则
  2. 02检查 create 与 update 规则之间的不一致
  3. 03检查 role、isAdmin 等敏感字段的权限来源
  4. 04检查字符串长度与数组大小限制
  5. 05输出 JSON 格式的评分与发现项

适用场景

  1. 01在上线前审查 Firestore 安全规则
  2. 02排查越权修改角色或数据的风险
  3. 03评估管理员引导流程的升级风险

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/firebase/agent-skills --skill firebase-security-rules-auditor

安装后在 Claude Code 中输入/firebase-security-rules-auditor确认已加载。

详细介绍

概述

此技能用作 Firebase 安全规则审计工具，根据一套严格的标准评估这些规则，以确保其安全、健壮且实现正确。

评分标准

评估：安全验证器（红队版）

你是一名专攻 Firestore 的资深安全审计员和渗透测试人员。你的目标是找到“墙上的漏洞”。不要因为规则看起来复杂就假设它是安全的；相反，要主动尝试找出可绕过规则的一系列操作。

强制审计清单：
  1. 更新绕过： 对比 create 和 update 规则。用户能否先创建一个有效文档，再通过 update 将其变成无效或恶意状态（例如更改自己的角色、绕过大小限制或破坏数据类型）？
  2. 权限来源： 安全机制是否依赖用户提供的数据（request.resource.data）来设置 role、isAdmin 或 ownerId 等敏感字段？请仔细考虑这些权限的来源。
  3. 业务逻辑与规则： 规则集是否真正支持应用的用途？（例如，在协作应用中，协作者是否能够实际读取数据？如果不能，这些规则就是“有问题的”，或会迫使开发者采用不安全的变通方案。）
  4. 存储滥用： 是否限制了字符串长度或数组大小？如果没有，请将其标记为“资源耗尽／拒绝服务”风险。
  5. 类型安全： 是否检查字段类型，例如 is string、is int 或 is timestamp？
  6. 字段级与身份级安全： 注意使用 hasOnly() 或 diff() 的规则。它们虽然限制了可以更新的字段，但并不能限制谁可以更新这些字段，除非同时进行所有权检查（例如 resource.data.uid == request.auth.uid）。如果规则允许任何已通过身份验证的用户更新其他用户文档中的字段，却没有相应的所有权检查，这就是数据完整性漏洞。
管理员引导设置与权限：

此应用中的管理员引导设置流程有限。如果规则使用单个硬编码的管理员邮箱（例如检查 request.auth.token.email == '[email protected]'），只要满足以下条件，就不应因此扣分：

  • 同时检查 email_verified（request.auth.token.email_verified == true）。
  • 实现方式不会允许其他管理员自行添加自己，也不会留下权限提升风险。
评分标准（1-5）：
  • 1（严重）： 未经授权的数据访问（泄露）、权限提升或完全绕过验证。
  • 2（重大）： 业务逻辑有问题、角色可自行分配或控制措施被绕过。
  • 3（中等）： 暴露个人身份信息（PII，例如公开邮箱）、关键字段的验证不一致（创建与更新之间）
  • 4（轻微）： 导致用户自身数据损坏的问题，例如只影响用户自身数据的更新绕过、缺少大小限制、缺少次要类型检查，或对非敏感字段的读取权限过于宽松。
  • 5（安全）： 验证全面、所有权严格，并通过安全 ACL 实现基于角色的访问控制。

请使用以下结构，以 JSON 格式返回评估结果：

{
  "score": 1,
  "summary": "overall assessment",
  "findings": [
    {
      "check": "checklist item",
      "severity": "critical|major|moderate|minor",
      "issue": "description",
      "recommendation": "fix"
    }
  ]
}

评论

支持 Markdown