如何加固你的 Firebase 安全规则

分步操作

1. 1

   退出测试模式

   把 'allow read, write: if true' 替换为要求身份认证的规则。一个锁定的默认值是 'allow read, write: if false'，然后再有意地开放特定路径。

2. 2

   要求认证与归属

   用 request.auth != null 来限定访问，并匹配文档所有者，例如 allow read, write: if request.auth.uid == resource.data.ownerId。

3. 3

   校验写入

   用规则校验数据结构，并阻止用户写入不该写的字段（角色、余额）。Firestore、Realtime Database 和存储需分别覆盖。

4. 4

   在规则演练场中测试

   在发布前，用 Firebase 规则模拟器确认匿名访问被拒绝，且用户只能触及自己的数据。