fujiokayu
commented
3 years ago - auth.token.email_verified をバックエンドで検証すれば #20 は解消するが、Google アカウント認証の場合 email_verified はサインアップ時に true になるため #36 の問題は残る
- サインアップが成功した時に invited claim を Cloud Functions で付与しそれを検証する場合は #20 の未検証の email で利用できる問題が残る
両方を検証するようにする。修正対象は Cloud Functions の実装と Cloud Storage、Firestore の security rules.
バックエンドで invited claim を検証すれば、#20 や #36 の問題を無害化することが可能。