无法对使用 Firebase 的服务执行 OWASAP ZAP 漏洞诊断

Question

我使用 OWASP ZAP 来诊断我自己的 Web 服务中的漏洞。 但是，Web 服务功能无法通过 ZAP 代理正常工作。检查ZAP日志时发现以下URL通信出现错误，返回504（Gateway Timeout）状态码。

https://firestore.googleapis.com/google.firestore.v1.Firestore/Listen/channel?database=xxxxxx

Firebase 不仅使用 Firestore，还使用 ​​Firebase 身份验证。不过，Firebase 身份验证似乎有效。 有谁知道为什么 Firestore 通信会导致 504 错误？

Web服务的环境如下。

Next.js (Vercel)

Using Firebase functions:
Firebase Authentication
Firebase Storage
Firebase Firestore

※ Firestore and storage can only be accessed by accounts authenticated by Firebase Authentication.

如果有人熟悉的话请教我。

Answer 1

我已经看到这个问题，经过一些研究发现 ZAP 尚不支持流连接，并且 Firestore 在服务器发送数据后保持网络请求打开（以防万一它想向客户端发送更多数据）。

启用experimentalAutoDetectLongPolling< /a>，这会强制 Firestore 尽快关闭连接，从而允许 ZAP 正常工作。

为此：

firebase.initializeApp({
  ...
});
firebase.firestore().settings({experimentalForceLongPolling: true});