フォルダごと渡してください。中の .env や .gitignore も読みます。node_modules などの大きいフォルダは読み飛ばします。
見本架空のプロジェクトで表示しています。フォルダを入れると、あなたのプロジェクトの結果に変わります。
結果をテキストにして、Claude や ChatGPT に貼れます。直し方を相談したら、直したあとにもう一度ここで確かめてください。
テキストを表示
このツールが見ていないこと
- 見ているのは、実際の漏洩でよく見られる4か所（ルールの条件なしの許可 if true、ログインだけで許可する request.auth != null、配布ファイルに混ざった秘密鍵、.env の扱い）だけです。ここが通っても、アプリ全体が安全という意味にはなりません。
- ルールは1行ずつ読んでいます。複数行にまたがる条件や、関数を使った条件は判定していません。
- ブラウザからは Git の記録（.git の中）を読めません。そのため、.env が Git で追跡済みかどうかと、下の階層の .gitignore の効き方は確かめられません。直下の .gitignore に除外の行があっても「未確認」として出します。Node.js 版の fbcheck を git リポジトリの中で実行すると、この2つを git 自身で確かめます。
- ルールはファイルから読んでいます。Firebase コンソールで直接書き換えたルールは見えません。コンソールの「ルール」タブの中身も確かめてください。
- 秘密鍵は、よく知られた形との照合で探しています。見落としはあります。
- 逆に、ここが赤い場合は、実際に漏れた事例と同じ形になっています。