Soy un desarrollador de JavaScript bastante nuevo, vengo del área de Sistemas Embebidos, es decir, los algoritmos y los conceptos básicos de programación no son un problema para mí, pero algunos conceptos de desarrollo web (front/back end) aún son nuevos para mí, y muchos a menudo surgen dudas.
Yendo directamente a mi pregunta, actualmente estoy desarrollando una aplicación HTML + JS básica donde el usuario debe iniciar sesión para obtener acceso a un área "privada"; una vez iniciada la sesión, es posible realizar muchas solicitudes de servicio y ver las solicitudes de otros usuarios, siendo más o menos un sistema de "intranet".
Estoy usando Firebase Firestore como base de datos y adopto dos enfoques para comunicarme con la base de datos:
-Para la gestión de la autenticación de usuarios (procesos de inicio de sesión y registro) , estoy aprovechando los módulos JS "front-end" proporcionados por Firebase, utilizando el método de inicio de sesión/contraseña con la función de confirmación del enlace de correo electrónico activada. Una vez que se envía una solicitud de autenticación, la aplicación Firebase devuelve un token y, en función de este token, se genera una cookie de sesión que otorga acceso al área privada. De esta manera, no necesito administrar la mayoría de los pasos de autenticación/validación de cuenta en mi parte de back-end.
-Para cualquier otra operación de base de datos (lectura y escritura de firestore) , estoy usando el SDK 'firebase-admin' junto con mi implementación de back-end, de manera que todas las solicitudes se validan con la cookie de sesión antes de que realmente se realicen . El back-end tiene acceso a una "clave" JSON de cuenta de servicio, lo que le otorga acceso total de lectura y escritura a toda la base de datos.
Finalmente, las preguntas son:
- ¿Es aceptable o convencional usar ambos enfoques, front-end y back-end, para administrar la aplicación firebase?
- Una vez que todos los datos de Firestore se administran en el back-end, y todas las reglas de lectura/escritura/privilegios se administran allí, ¿es correcto el enfoque correcto para establecer las reglas de seguridad para bloquear todo, de la siguiente manera? (considerando que firebase-admin pasa por alto todo, desde el lado del back-end, sin verse afectado)
service cloud.firestore { match /databases/{database}/documents { match /{document=**} { allow read, write: if false; } } }Saludos cordiales, y por favor avísenme si fui clara en mis dudas :)
La combinación de código de front-end y back-end cuando se usa Firestore (u otros módulos de Firebase) es bastante normal. Realizar todo el acceso a los datos a través del SDK de administrador (aunque no es necesario) también es un enfoque completamente aceptable. Establecer las reglas para no permitir ningún acceso directo desde los SDK del lado del cliente (o con tokens de ID a través de las API REST) es, de hecho, un paso lógico en este escenario.
Lo que hay que tener en cuenta es que su código ahora es responsable de garantizar que todos los datos estén autorizados, mientras que en los casos en los que usa SDK de Firebase del lado del cliente, son las reglas de seguridad las que realizan el control de acceso.