Die Testmodus-Regel, die Firebase vorschlägt (request.time < timestamp.date(...)), lässt jedes Dokument bis zu diesem Datum für jeden offen. Dieser Skill findet das und sechs weitere Regelfehler in firestore.rules, storage.rules und database.rules.json und zeigt Ihnen, wie Sie jeden davon beheben.

Ihr Agent führt einen Scanner auf Ihren Firebase-Regeldateien aus. Er versteht match-Blöcke, rekursive Wildcards, mehrzeilige Bedingungen, Kommentare und Hilfsfunktionen sowie JSON-Regeln der Realtime Database. Das Ergebnis ist BLOCK, REVIEW oder NOT FLAGGED, jeweils mit Datei, Zeile, Begründung und einer sichereren Alternative.

Was geprüft wird

BLOCK (vor der Auslieferung beheben)

• F01: eine Schreibregel ohne Bedingung oder mit if true

• F02: eine Catch-all-Regel match /{document=**} oder eine Regel auf der Datenbankwurzel, die alles öffnet

• F03: übrig gebliebene Testmodus-Regeln (request.time < timestamp.date)

REVIEW (vor dem Release prüfen)

• F11: Schreibzugriff für jeden angemeldeten Nutzer erlaubt

• F12: öffentliche Lesezugriffe ohne Bedingung

• F13: Storage-Uploads ohne Größenbeschränkung

• F14: kein rules_version = '2'

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelleitfaden mit Begründung und sichererer Alternative für jede Regel

• Riskante und sichere Beispiel-Regeldateien sowie der echte Bericht, den der Scanner für die riskanten erzeugt

Grenzen

Der Scanner liest den Regeltext und wertet weder Hilfsfunktionen noch Daten in Ihrer Datenbank aus. Testen Sie Ihre Regeln zusätzlich im Firebase Emulator. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 11 Dateien: SKILL.md, der Scanner in scripts/ (2 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererer Alternative) und examples/ (6 Beispieldateien plus report.md, die echte Scanner-Ausgabe für das riskante Beispiel).

Anwendung: Dies ist ein Agent-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten dann, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und nichts wird irgendwohin gesendet.