Web上のFCMは、アプリケーションサーバーなしで安全ですか？

Question

自分のサイトのクライアントからメッセージを生成し、ターゲットデバイスにメッセージを送信したい。これは、このようなアヤックス（jqueryの）要求に簡単です：

$.ajax({ 
    url: 'https://fcm.googleapis.com/fcm/send', 
    type: 'POST', 
    contentType: "application/json", 
    dataType: 'json', 
    data: JSON.stringify({ 
     "notification": { 
      "title": title, 
      "body": msg, 
      "sound": "default" 
     }, 
     "to": "XXXXXXXXXXXX" 
    }), 
    beforeSend: function(xhr) { 
     xhr.setRequestHeader('Authorization', 'key=YYYYYYYYYY'); 
    } 
}); 

しかし、その後、私はXXXXXXXXXXXXデバイスキーを維持する必要はありません、とYYYYYYYYYYのAPIキーのプライベート？もしそうでなければ、私は人々がこれらを掻き集め始め、まったく無関係のサービスからスパムするのではないかと心配しています。

Answer 1

これは間違いなく安全です。 Authorizationヘッダーに渡すキーは、サーバーというキーです。これは、アプリケーションサーバー（または直接制御する他のプロセス）でのみ使用することになっているためです。

クライアントのすべてのデバイスで実行されるコードにこの同じキーを入れると、悪意のあるユーザーがサーバーキーをコピーして、そのキーを使用して自分の代わりにアプリケーションのユーザーにメッセージを送信できるようになります。

Firebase Cloud Messagingのドキュメントでは、section on FCM Server rolesで説明しています。また、blog post that explains how to send device-to-device messages on Android using Cloud Messaging, the Realtime Database and a Node.js script on your back-end, app serverもあります。