Firebase-Regeln im Testmodus
Prüfregel · RSC-SEC-131
- Sicherheit
- Schweregrad: Hoch
- CWE-284
- OWASP A01-2021
Findet die Zeitbedingung des Firebase-Testmodus — `request.time < timestamp.date(…)` in `.rules`-Dateien bzw. `"now < …"` in `database.rules.json` —, solange das Datum noch nicht erreicht ist.
Warum das zählt
Wer in der Firebase-Konsole eine Datenbank anlegt, bekommt den Testmodus angeboten: Bis zu einem Datum in 30 Tagen darf jeder ohne Anmeldung lesen und schreiben. Für KI-gebaute Apps ist das der bequemste Start — und die Bedingung sieht im Code harmlos aus, weil sie wie eine Regel aussieht.
Läuft das Datum ab, verweigert Firebase alles, und die App steht still. Der naheliegende „Fix“ ist, das Datum zu verlängern — damit steht die Datenbank wieder für alle offen. Fix: echte Regeln schreiben, die den Zugriff an den Eigentümer binden, und das im Rules-Playground gegen einen anonymen Aufruf testen.
Prüfstufe
- Repo-Zugang (Deep-Scan)
So behebt ihr es
Die Zeitbedingung durch Regeln ersetzen, die an `request.auth.uid` und den Eigentümer binden — nicht das Datum verlängern.