如何通过设备令牌在Firebase中封禁特定Flutter应用用户？

问题分析 #

你之前的Firestore规则失效的核心原因是：request.auth.token.device_token 并非Firebase Auth ID Token的默认字段，正常用户的token里不存在该值，导致规则判断逻辑异常，影响了所有用户的访问权限。

有效封禁方案 #

方案1：直接禁用Firebase Auth账号（最便捷） #

如果能定位到该用户的Firebase Auth账号（比如通过其登录邮箱/手机号，或在控制台找到对应UID），直接禁用账号是最简单的方式：

1. 打开Firebase控制台 → 进入「Authentication」→ 找到目标用户
2. 点击用户右侧的「更多」→ 选择「禁用账号」
3. 禁用后，该用户无法再登录应用，已登录的会话也会自动失效，无法访问Firestore

方案2：用自定义声明标记违规用户（灵活可控） #

如果不想直接禁用账号，可通过自定义声明标记，配合安全规则限制访问：

1. 添加自定义声明：
   使用Firebase CLI或Admin SDK给违规用户添加banned: true声明：

   # 替换USER_UID为目标用户的UID，通过Firebase CLI执行
   firebase auth:update USER_UID --banned=true
   

   或用Node.js Admin SDK示例：

   const admin = require('firebase-admin');
   admin.initializeApp();
   
   admin.auth().setCustomUserClaims('USER_UID', { banned: true })
     .then(() => {
       console.log('用户已标记为封禁');
     });
   

2. 更新Firestore安全规则：
   修改规则，拒绝被标记为banned的用户访问：

   rules_version = '2';
   
   service cloud.firestore {
     match /databases/{database}/documents {
       match /{document=**} {
         allow read, write: if request.auth != null && !request.auth.token.banned;
       }
     }
   }
   

   此规则下正常用户不受影响，被标记的用户无法读写任何Firestore数据。

方案3：基于设备令牌封禁（针对特定设备） #

如果仅需封禁该设备而非整个用户账号，需先将设备令牌与用户关联：

1. 存储设备令牌到用户文档：
   用户登录后，在Firestore的users/{uid}文档中存储其deviceToken字段。
2. 创建封禁设备列表：
   在Firestore中创建bannedDevices集合，将违规设备令牌存入（比如用令牌值作为文档ID）。
3. 修改安全规则：
   规则中检查当前用户的设备令牌是否在封禁列表中：

   rules_version = '2';
   
   service cloud.firestore {
     match /databases/{database}/documents {
       function isDeviceBanned() {
         let userDoc = get(/databases/$(database)/documents/users/$(request.auth.uid));
         let deviceToken = userDoc.data().deviceToken;
         return exists(/databases/$(database)/documents/bannedDevices/$(deviceToken));
       }
   
       match /{document=**} {
         allow read, write: if request.auth != null && !isDeviceBanned();
       }
     }
   }
   

   注意：需确保用户登录后正确更新users文档的设备令牌，且规则中的get操作会消耗规则资源，需留意性能。

额外：客户端登录后验证 #

在Flutter客户端，登录成功后可检查用户自定义声明，若为封禁状态则直接退出：

import 'package:firebase_auth/firebase_auth.dart';

Future<void> checkUserBanStatus() async {
  User? user = FirebaseAuth.instance.currentUser;
  if (user != null) {
    IdTokenResult tokenResult = await user.getIdTokenResult();
    if (tokenResult.claims?['banned'] == true) {
      await FirebaseAuth.instance.signOut();
      // 提示用户已被封禁
    }
  }
}

内容的提问来源于stack exchange，提问作者Priyanshu