如何保留仅阻止匿名用户写入Firestore的Cloud Function？

核心思路 #

通过前端强化登录后的用户数据校验与初始化流程，配合Cloud Function仅拦截匿名用户的逻辑，确保非匿名用户（无论从哪个入口登录）都能正确完成数据存储，同时保留匿名写入拦截的安全机制。

1. 全局登录状态监听与数据初始化检查 #

在应用入口处添加Firebase Auth状态监听，统一处理所有登录场景：

• 立即拦截匿名用户，引导至注册流程
• 非匿名用户先查询Firestore对应用户文档，判断数据是否已初始化
• 未初始化则调用统一逻辑完成数据写入，已初始化则直接进入应用

// 全局监听登录状态
firebase.auth().onAuthStateChanged((user) => {
  if (user) {
    // 拦截匿名用户
    if (user.isAnonymous) {
      window.location.href = '/register';
      return;
    }

    // 查询用户数据是否存在
    const userDocRef = firebase.firestore().collection('users').doc(user.uid);
    userDocRef.get().then((doc) => {
      // 检查文档是否存在或是否标记为已初始化
      if (!doc.exists || !doc.data().userDataInitialized) {
        initializeUserData(user, userDocRef);
      } else {
        enterApp();
      }
    });
  } else {
    // 未登录用户引导至登录页
    window.location.href = '/login';
  }
});

// 统一初始化用户数据函数
function initializeUserData(user, docRef) {
  const providerId = user.providerData[0].providerId;
  // 基础数据（包含localStorage中的语言设置）
  let userData = {
    uid: user.uid,
    email: user.email,
    userDataInitialized: true,
    language: localStorage.getItem('i18n-lang') || 'en'
  };

  // 根据SSO提供商补充专属字段
  switch(providerId) {
    case 'google.com':
      userData.displayName = user.displayName;
      userData.photoURL = user.photoURL;
      break;
    case 'facebook.com':
      userData.displayName = user.displayName;
      userData.facebookUid = user.providerData[0].uid;
      break;
    // 补充其他3个提供商的字段处理逻辑
    default:
      break;
  }

  // 写入Firestore（使用merge避免覆盖已有数据）
  docRef.set(userData, { merge: true }).then(() => {
    enterApp();
  }).catch(err => {
    console.error('用户数据初始化失败:', err);
    // 可添加前端提示，引导用户重试
  });
}

// 进入应用核心逻辑
function enterApp() {
  window.location.href = '/dashboard';
}

2. 确认Cloud Function仅拦截匿名用户 #

确保Cloud Function逻辑只对匿名用户的写入操作进行拦截，不对已认证的非匿名用户做任何干预，避免覆盖前端合法写入：

// Cloud Function：仅阻止匿名用户写入users集合
exports.blockAnonymousWrites = functions.firestore
  .document('users/{userId}')
  .onWrite((change, context) => {
    const auth = context.auth;
    // 仅拦截匿名或未认证用户
    if (!auth || auth.token.isAnonymous) {
      throw new functions.https.HttpsError(
        'permission-denied', 
        '匿名用户无法写入数据'
      );
    }
    // 非匿名用户允许写入，返回null不干预
    return null;
  });

3. 前端路由拦截与登录入口统一 #

• 路由拦截：对应用核心页面添加前置校验，确保用户数据已初始化后才能访问，避免未完成数据存储的用户进入
• 统一登录入口：将所有SSO登录按钮集中放在注册/登录流程页面，在登录按钮的点击事件中，先完成登录再触发数据初始化，减少用户绕过流程的可能：

// Google登录按钮点击事件示例
document.getElementById('google-login-btn').addEventListener('click', () => {
  const provider = new firebase.auth.GoogleAuthProvider();
  firebase.auth().signInWithPopup(provider).then(result => {
    const user = result.user;
    const docRef = firebase.firestore().collection('users').doc(user.uid);
    // 登录后直接检查并初始化数据
    docRef.get().then(doc => {
      if (!doc.exists || !doc.data().userDataInitialized) {
        initializeUserData(user, docRef);
      } else {
        enterApp();
      }
    });
  }).catch(err => {
    console.error('登录失败:', err);
  });
});

内容的提问来源于stack exchange，提问作者Andre Korosh Kordasti