如何为Express+Axios开发的Telegram CRUD机器人配置Cloud Firestore全读写权限规则

DevOps 小满

2026-6-24

为Firestore设置完整读写权限的规则方案

核心前提说明

Firebase的安全规则仅约束客户端SDK的请求，如果你在Express后端使用的是Firebase Admin SDK（推荐后端服务使用），那么Admin SDK会通过服务账号直接获得数据库的最高权限，完全不受安全规则限制——这种情况下你可以保持严格的默认规则（allow read, write: if false;），应用依然能正常完成CRUD操作，这也是最安全的生产环境方案。

若使用客户端SDK（非推荐）的规则设置

如果你的应用确实基于Firebase客户端SDK开发，需要通过规则开放完整读写权限，可按以下方式配置：

1. 测试环境临时开放权限（仅用于本地调试）

直接设置允许所有读写请求，注意绝对不能用于生产环境：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read, write: if true;
    }
  }
}

这个规则会让任何能访问你数据库端点的请求都能读写数据，风险极高。

2. 更安全的限定访问方案

如果需要在非测试环境使用客户端SDK，建议通过认证条件限制仅你的应用能访问。例如，你可以为应用生成自定义认证token，在规则中校验用户UID或自定义声明：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      // 仅允许特定UID的认证用户访问
      allow read, write: if request.auth.uid == "你的应用专用UID";
      // 或校验自定义声明
      // allow read, write: if request.auth.token.app_access == true;
    }
  }
}