Prüfregel · RSC-SEC-031
Firestore-Collections anonym lesbar
Fragt die Collections, die die App selbst im Bundle nennt, mit dem öffentlichen Web-Schlüssel an — mit `mask.fieldPaths=__name__`, also nur Dokument-Namen, kein einziger Feldwert.
Warum das zählt
Firestore ist das Firebase-Gegenstück zur offenen Supabase-Tabelle und mindestens so häufig betroffen. Die Standard-Regeln verweigern alles, was eine frisch generierte App sofort blockiert — der schnellste Weg zum Laufen ist `allow read, write: if true`, und genau der bleibt stehen.
Wir raten keine Collection-Namen: Geprüft wird ausschließlich, was die App in ihrem eigenen Bundle nennt. Die Abfrage begrenzt die Antwort auf Dokument-Namen; Inhalte werden nicht gelesen. Kommt trotzdem eine Antwort, erlauben die Regeln den anonymen Lesezugriff.
Fix: Regeln pro Collection an die Identität binden (`request.auth.uid == resource.data.userId`), im Firebase-Rules-Playground gegen einen anonymen Aufruf testen und danach erneut scannen.
Prüfstufe
So behebt ihr es
Firestore-Regeln auf `request.auth != null` plus dokumentbezogene Bedingung umstellen und erneut prüfen.