技能 firestore-security-rules-auditor
📦

firestore-security-rules-auditor

内容修订 r1 安全 ⚙️ 外部命令

审计 Firestore 安全规则

Firestore 规则经常遗漏更新绕过、所有权检查和验证缺口。此技能会引导 Claude、Codex 或 Claude Code 进行聚焦的安全审查。

支持: Claude Codex Code(CC)
🥉 78 青铜

使用我的智能体安装

将此请求复制给你的智能体，其中包含权威 Skill 页面和清单。

智能体请求
Review the Skillstore skill "firestore-security-rules-auditor" from https://skillstore.io/skills/firebase-firestore-security-rules-auditor.md and its manifest at https://skillstore.io/api/skills/firebase-firestore-security-rules-auditor/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

你的智能体仍应展示其计划，并按安全策略请求必要确认。

Agent 可读资源

当 AI Agent、爬虫或脚本需要干净上下文，而不是读取完整页面时，请使用这些链接。

Markdown 详情 GET /skills/firebase-firestore-security-rules-auditor.md 已签名 manifest GET /api/skills/firebase-firestore-security-rules-auditor/manifest 已签名 lockfile GET /api/skills/firebase-firestore-security-rules-auditor/lockfile

测试它

正在使用“firestore-security-rules-auditor”。 用于用户资料集合且包含 create 和 update 访问权限的 Firestore 规则。

预期结果:

  • 评分：5 分制中得 3 分。
  • 主要问题：update 规则允许受保护的资料字段在创建后被更改。
  • 建议修复：对 create 和 update 操作应用等效验证。

正在使用“firestore-security-rules-auditor”。 用于包含成员和所有者的共享工作区应用的规则。

预期结果:

  • 评分：5 分制中得 2 分。
  • 主要问题：当成员数据由请求者写入时，可能会授予访问权限。
  • 建议修复：基于可信的成员记录和严格的所有权检查来确定权限。

正在使用“firestore-security-rules-auditor”。 用于允许已认证写入的公共内容集合的规则。

预期结果:

  • 评分：5 分制中得 4 分。
  • 主要问题：文本字段缺少大小限制，可能导致存储滥用。
  • 建议修复：为可写字段添加长度限制和类型检查。

安全审计

安全
v4 • 2026/7/6 打开版本化报告

All three static findings are false positives caused by Markdown guidance in SKILL.md. The skill provides Firestore rules audit instructions and does not run commands or request system reconnaissance.

1
已扫描文件
45
分析行数
0
复核项
0
已忽略误报

风险因素

⚙️ 外部命令 (1)
SKILL.md:19
最新一次完成的静态与语义审计未检测到已确认的安全发现。这并不能证明该 Skill 没有副作用。
审计者: codex 查看审计历史 →
分享与引用此报告

分享版本化评估报告、中性徽章、嵌入卡片和引用。Skillstore 只报告证据，不判断该 Skill 是否安全。

打开版本化报告
安全评估

复制报告链接

https://skillstore.io/skills/firebase-firestore-security-rules-auditor/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown 徽章

[![Skillstore security assessment](https://skillstore.io/badges/skills/firebase-firestore-security-rules-auditor/security.svg)](https://skillstore.io/skills/firebase-firestore-security-rules-auditor?utm_source=security_passport_badge)

HTML 徽章

<a href="https://skillstore.io/skills/firebase-firestore-security-rules-auditor?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/firebase-firestore-security-rules-auditor/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

嵌入卡片

<iframe src="https://skillstore.io/embed/skills/firebase-firestore-security-rules-auditor.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
学术引用 (APA · BibTeX · CFF)

APA 引用

firebase. (2026). firestore-security-rules-auditor security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/firebase-firestore-security-rules-auditor/audits/4

BibTeX 引用

@techreport{firebase-firebase-firestore-security-rules-auditor-2026, author = {firebase}, title = {firestore-security-rules-auditor security audit report (audit version 4)}, institution = {Skillstore}, year = {2026}, number = {4}, url = {https://skillstore.io/skills/firebase-firestore-security-rules-auditor/audits/4}, note = {Author version unspecified} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "firestore-security-rules-auditor security audit report (audit version 4)" version: "unspecified" type: report authors: - name: "firebase" date-released: "2026-07-06" url: "https://skillstore.io/skills/firebase-firestore-security-rules-auditor/audits/4" identifiers: - type: other value: "skillstore:firebase-firestore-security-rules-auditor:audit:4" description: "Skillstore immutable audit report identifier"

Skillstore 评分

评分依据 证据置信度: 高
55
架构
85
可维护性
87
内容
68
社区
83
规范符合性

你能构建什么

发布前审查新规则

在 Firestore 规则进入生产环境之前发现访问控制和验证问题。

分流授权风险

识别规则集中可能的权限提升、数据暴露和不安全的更新路径。

准备客户修复方案

将规则弱点转化为明确的严重性评级和实用的修复建议。

试试这些提示

基础规则审计 
审计这些 Firestore 安全规则中明显的授权和验证问题。总结评分、关键风险和修复方案。
检查更新绕过 
比较 create 和 update 规则。识别用户是否存在先创建有效数据、再将其更新为不安全状态的路径。
验证所有权和角色 
审查这些规则如何验证所有者、角色和管理员访问权限。标记任何依赖用户可控文档字段的敏感权限。
完整红队审查 
使用下面的应用上下文执行严格的 Firestore 规则审计。为规则评分，并报告严重、重大、中等和轻微问题。

最佳实践

  • 同时提供规则文件和应用数据模型。
  • 要求分别审查读取、创建、更新和删除操作。
  • 使用本地测试验证高风险建议。

避免

  • 不要在没有角色和所有权假设的情况下要求给出通过或失败结论。
  • 不要将字段白名单视为授权检查。
  • 不要忽略敏感字段在 create 和 update 之间的差异。

常见问题

这个技能审计什么？
它会审查 Firestore 安全规则中的授权、验证、所有权和更新绕过问题。
它会执行测试吗？
不会。它提供审查指导和结构化发现。请运行你自己的测试来确认行为。
它能发现权限提升吗？
可以。它会明确检查自分配角色、不安全的管理员规则和用户可控的权限字段。
我应该提供什么输入？
请提供规则文件、相关数据模型、用户角色，以及预期的读取或写入工作流。
它只适用于新项目吗？
不是。它可以审查新规则、现有生产规则，或部署前的拟议更改。
哪些工具可以使用它？
报告列出了对 Claude、Codex 和 Claude Code 的支持。

开发者详情

作者

firebase

许可证

MIT

Skillstore 修订

r1

版本提示

作者未声明版本。

仓库

https://github.com/firebase/agent-skills/tree/main/skills/firebase-security-rules-auditor/

引用

a06681402992ceae98ba04d54cfd4ab004862696

维护新鲜度

2026/7/18

使用量

2 次下载 · 78 次浏览

文件结构

📄 SKILL.md

firebase 的更多技能

查看全部

相关技能

查看全部