第 25 章｜Firebase Auth 與 Rules

帳號與環境

• 使用 owner／guest 兩個課程測試帳號，不用私人主帳號。
• 只啟用一種指定 provider，不蒐集多餘 profile。
• uid、config、帳密不進教材、repo 或公開證據。

最小權限與測試資料

1. 假資料只含 ownerUid 與假內容。
2. 只有 owner uid 相等時可修改。
3. 只測 owner、guest、unauth 三身份。
4. 先用 Emulator／Rules Playground 驗證。

操作與 Network 證據

1. owner 修改自己的資料成功。
2. guest 修改 owner 資料得到 permission denied。
3. unauth 同樣被拒，再回 owner 檢查合法路徑。
4. 遮蔽 uid、Email 與 credential，只留角色與判斷摘要。

Mock fallback

• Auth、網路或 Rules 不可用時回三角色模擬並保留標示。
• Mock 不冒充正式 Rules，Live 也不取代必修證據。
• 禁止為 demo 成功把 Rules 全公開。

清理與憑證安全

• 刪帳號與假資料、停 provider、Rules 回 deny。
• 撤 session，搜尋 uid、Email、password、config、URL。
• 外洩時先停用與收緊，再輪替並查紀錄。