スキル firebase
📦
firebase
コンテンツリビジョン r2 中リスク ⚙️ 外部コマンド🌐 ネットワークアクセス
より安全な Firebase バックエンドを構築
Firebase アプリは、脆弱なルール、不適切なデータモデル、高コストなリスナーが原因で失敗することがよくあります。このスキルは、安全な Firebase Auth、Firestore、Functions、Storage、Hosting、エミュレータのワークフローをガイドします。
対応: Claude Codex Code(CC)
自分のエージェントでインストール
このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。
エージェントリクエスト
Review the Skillstore skill "firebase" from https://skillstore.io/skills/sickn33-firebase.md and its manifest at https://skillstore.io/api/skills/sickn33-firebase/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。
エージェントが読めるリソース
AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「firebase」を使用しています。 小規模なマーケットプレイスアプリ向けに Firebase を計画する。
期待される結果:
- 購入者と販売者には、確認済みメールチェック付きの Auth を使用します。
- 読み取りの多いブラウジングに合わせて listings をモデル化し、非正規化した販売者サマリーを含めます。
- 決済に関わる機密性の高い処理は、信頼されたサーバー関数の背後に置きます。
「firebase」を使用しています。 チームドキュメント向けの Firestore アクセス計画をレビューする。
期待される結果:
- ドキュメントを読み取る前に、メンバーシップチェックを必須にします。
- 公開メタデータを非公開のプロジェクトコンテンツから分離します。
- エミュレータで、所有者、メンバー、権限を取り消されたユーザーのケースをテストします。
「firebase」を使用しています。 Firebase 設計のコストリスクを見つける。
期待される結果:
- コレクション全体へのリスナーは避けます。
- ページネーション付きの絞り込んだクエリを優先します。
- ローンチ前に高トラフィックのパスを追跡します。
セキュリティ監査
中リスクv5 • 2026/7/23 バージョン別レポートを開く
Eight alerts are false positives caused by JavaScript template literals, Markdown backticks, and normal authentication response code. Two network findings are confirmed because the API helper sends current and refreshed ID tokens to an unrestricted URL. No prompt injection or malicious intent was found, but the client-written session cookie lacks standard cookie protections.
1
スキャンされたファイル
696
解析済み行数
2
レビュー項目
0
誤検知を無視
確認済みのセキュリティ上の懸念 (1)
中
Insecure client-side token cookie
The example writes a Firebase ID token to document.cookie without Secure, SameSite, or HttpOnly protection. This can expose credentials through script access or unsafe transport.
The cookie assignment is explicit, and no protective attributes are present. Client-side JavaScript also cannot add HttpOnly protection.
機能レビュー項目 (2)
これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。
低
Fetch API call
const res = await fetch(url, {
The helper sends a Firebase ID token as a bearer credential to the unrestricted url parameter. An untrusted or mistaken destination can receive the token.
低
Fetch API call
return fetch(url, { ...opts, headers: { ...opts.headers, Authorization: "Bearer " + newToken }});
The retry sends a freshly refreshed ID token to the same unrestricted url parameter. This repeats the credential disclosure risk with a current token.
リスク要因
⚙️ 外部コマンド (4)
🌐 ネットワークアクセス (2)
監査者: codex 監査履歴を表示 →
このレポートを共有・引用
バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。
レポートリンクをコピー
https://skillstore.io/skills/sickn33-firebase/audits/5?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportMarkdownバッジ
[](https://skillstore.io/skills/sickn33-firebase?utm_source=security_passport_badge)HTMLバッジ
<a href="https://skillstore.io/skills/sickn33-firebase?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-firebase/security.svg" alt="Skillstore security assessment" loading="lazy"></a>埋め込みカード
<iframe src="https://skillstore.io/embed/skills/sickn33-firebase.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>学術引用 (APA · BibTeX · CFF)
APA形式の引用
sickn33. (2026). firebase security audit report (audit version 5) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-firebase/audits/5BibTeX形式の引用
@techreport{sickn33-sickn33-firebase-2026,
author = {sickn33},
title = {firebase security audit report (audit version 5)},
institution = {Skillstore},
year = {2026},
number = {5},
url = {https://skillstore.io/skills/sickn33-firebase/audits/5},
note = {Author version unspecified}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "firebase security audit report (audit version 5)"
version: "unspecified"
type: report
authors:
- name: "sickn33"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/sickn33-firebase/audits/5"
identifiers:
- type: other
value: "skillstore:sickn33-firebase:audit:5"
description: "Skillstore immutable audit report identifier"
Skillstore スコア
このスコアの理由 証拠の信頼度: 高 55
アーキテクチャ
85
保守性
87
コンテンツ
69
コミュニティ
78
仕様準拠
作成できるもの
新しい Firebase アプリを計画する
実装を開始する前に、Firebase サービスを選択し、主要なデータフローを設計します。
Firestore セキュリティを改善する
アクセスパターンをレビューし、ユーザー所有データに対するより安全なルール戦略を作成します。
Firebase コストを管理する
請求額を増やす可能性のある危険なリスナー、広範な読み取り、クエリパターンを見つけます。
これらのプロンプトを試す
Firebase サービスを整理する
[product] 向けの Firebase アプリを構築しています。必要な Firebase サービスを推奨し、主なトレードオフを説明してください。
Firestore コレクションを設計する
[entities] の Firestore データモデル設計を手伝ってください。次のクエリパターン向けに最適化してください: [queries]。
セキュリティルールをレビューする
[app] の Firebase アクセスモデルをレビューしてください。ルール上のリスク、所有権チェックの不足、より安全なテストシナリオを特定してください。
本番アーキテクチャを監査する
この Firebase アーキテクチャを、セキュリティ、スケーラビリティ、コスト、移行リスクの観点で監査してください。Firestore、Functions、Storage、Hosting に重点を置いてください。
ベストプラクティス
- セキュリティルールはローンチ後ではなく、データモデルと一緒に設計します。
- Firestore コレクションは、既知のクエリパターンを中心に構築します。
- デプロイ前に Firebase エミュレータを使用して、ルールと関数をテストします。
回避
- 許可範囲が広すぎる、または欠落したセキュリティルールのままリリースする。
- クライアント側のアプリケーションコードから管理者操作を実行する。
- 制限なしで大規模なコレクションにリアルタイムリスナーを接続する。
よくある質問
このスキルはどの Firebase サービスを対象にしていますか？
Auth、Firestore、Realtime Database、Cloud Functions、Storage、Hosting、Admin SDK、セキュリティルール、エミュレータを扱います。
完全なセキュリティルールを書いてもらえますか？
ルール設計をガイドし、アクセスモデルをレビューできますが、実際のルールにはプロジェクト固有のテストが必要です。
Firestore データモデリングに役立ちますか？
はい。クエリ駆動の構造、非正規化データ、一般的なモデリング上のトレードオフに重点を置きます。
Firebase コストを削減できますか？
危険なリスナー、広範な読み取り、使用コストを増やす可能性のあるパターンを特定できます。
このスキルは Claude Code や Codex で役立ちますか？
はい。Firebase の計画とレビューのワークフローで、Claude、Claude Code、Codex をサポートします。
Firebase プロジェクトをデプロイしますか？
いいえ。ガイダンス、レビュー、計画支援を提供しますが、デプロイやコマンド実行は行いません。