我相信，一旦数据库规则被准确地编写出来，就足以保护您的数据。此外，还可以遵循一些指导原则来相应地构建数据库。例如，在用户下创建UID节点，并将所有信息放在该节点下。之后，您需要实现一个简单的数据库规则，如下所示

  "rules": {
    "users": {
      "$uid": {
        ".read": "auth != null && auth.uid == $uid",
        ".write": "auth != null && auth.uid == $uid"
      }
    }
  }
}

其他用户将无法读取其他用户的数据，此外，域策略将限制来自其他域的请求。 你可以在上面读到更多 Firebase安全规则

包含它们是可以的，只有在Firebase ML或使用Firebase身份验证时才需要特别注意

Firebase的API密钥与典型的API密钥不同: 与API密钥的典型使用方式不同，Firebase服务的API密钥不用于控制对后端资源的访问;这只能通过Firebase安全规则来实现。通常，您需要严格地保护API密钥(例如，通过使用保险库服务或将密钥设置为环境变量);但是，Firebase服务的API密钥可以包含在代码或签入配置文件中。

尽管在代码中包含Firebase服务的API密钥是安全的，但在某些特定情况下，您应该强制限制API密钥;例如，如果您正在使用Firebase ML或使用带有电子邮件/密码登录方法的Firebase身份验证。稍后在本页了解更多有关这些案例的信息。

欲了解更多信息，请查看官方文档

我不相信向客户端公开安全/配置密钥。我不认为它是安全的，不是因为有人可以从第一天开始窃取所有的私人信息，而是因为有人可以提出过多的要求，耗尽你的配额，让你欠谷歌很多钱。

你需要考虑很多概念，比如限制人们访问他们不应该访问的地方，DOS攻击等等。

我更喜欢客户端首先会击中你的web服务器，在那里你把任何第一手的防火墙，验证码，cloudflare，自定义安全在客户端和服务器之间，或服务器和firebase之间，你就好了。至少你可以在可疑活动到达火源之前阻止它。你会有更大的灵活性。

在内部使用基于客户端的配置时，我只看到一个好的使用场景。例如，您有一个内部域，并且您非常确定外部人员无法访问该域，因此您可以设置类似浏览器-> firebase类型的环境。

您不应该公开此信息。在公共场合，特别是API密钥。 这可能会导致隐私泄露。

在公开网站之前，你应该隐藏它。你可以用两种或更多的方法来做

复杂的编码/隐藏 只需将firebase SDK代码放在您的网站或应用程序的底部，从而firebase自动完成所有工作。你不需要把API键放在任何地方

根据prufrofro和Frank van Puffelen的回答，我将这个设置组合在一起，它不能防止刮取，但可以略微增加使用API密钥的难度。

警告:要获取你的数据，即使使用这种方法，你也可以简单地在Chrome中打开JS控制台并键入:

firebase.database().ref("/get/all/the/data").once("value", function (data) {
    console.log(data.val());
});

只有数据库安全规则可以保护您的数据。

然而，我限制我的生产API密钥使用我的域名，像这样:

https://console.developers.google.com/apis 选择您的Firebase项目 凭证 在API键下，选择浏览器键。它应该看起来像这样:“浏览器键(由谷歌服务自动创建)” 在“Accept requests from these . HTTP引用者(网站)”，添加你的应用的URL(例如:projectname.firebaseapp.com/*)

现在该应用程序将只工作在这个特定的域名。因此，我创建了另一个API密钥，将是私有的本地主机开发。

单击“创建凭据> API密钥”

默认情况下，如Emmanuel Campos所述，Firebase只将本地主机和您的Firebase托管域列入白名单。

为了确保我不会错误地发布错误的API密钥，我使用以下方法之一来自动在生产中使用更受限制的方法。

创建-反应-应用程序的设置

在/ env.development:

REACT_APP_API_KEY=###dev-key###

在/ env.production:

REACT_APP_API_KEY=###public-key###

在/ src / index.js

const firebaseConfig = {
  apiKey: process.env.REACT_APP_API_KEY,
  // ... 
};

我正在github页面上做一个博客网站。我有一个想法，在每个博客页面的末尾嵌入评论。我知道firebase是如何获取和提供数据的。

我已经用项目甚至控制台测试了很多次。我完全不同意vlit是脆弱的这句话。 相信我，如果你遵循了firebase建议的隐私保护步骤，公开显示你的api密钥是没有问题的。 访问https://console.developers.google.com/apis 而且还是从安保部门来的。