无需用户登录的Firebase/Firestore应用开发及苹果上架合规咨询

一、无用户登录开放单集合写入的合规性 #

Firebase规则层面 #

Firebase允许自定义安全规则开放指定集合的写入权限，但不建议完全无限制开放——直接放开会面临垃圾数据注入、资源滥用的风险。你可以通过以下方式优化规则，兼顾需求与安全性：

• 限制写入的数据格式、字段数量及大小，过滤无效数据；
• 结合匿名认证（无需用户操作），仅允许匿名用户写入该集合，同时对其他集合设置只读规则。

苹果App Store上架层面 #

苹果没有强制要求应用必须包含用户登录功能，但需注意：

• 若通过该集合收集的数据涉及用户设备或行为相关信息，必须在隐私政策中明确披露收集目的、数据类型及使用方式；
• 确保数据收集和使用符合《App Store审核指南》中的隐私条款，比如不收集不必要信息、不将数据用于未告知的追踪用途。只要合规披露，上架不会有障碍。

二、自动创建用户的可行性 #

可以实现，但更推荐官方的匿名认证方案，而非自行用设备名称+密码创建：

• 匿名认证（推荐）：Firebase提供匿名登录功能，无需用户任何操作，应用启动后即可自动生成唯一匿名用户ID。用这个ID关联用户写入操作，既满足统计需求，又符合Firebase安全规范，还能避免设备信息使用的合规风险。
• 自定义自动创建用户：若坚持用设备信息创建账号，需注意：
  • 设备名称不具备唯一性，易导致创建冲突，建议使用IDFV（设备标识符）作为唯一标识，但苹果禁止将IDFV用于跨应用追踪；
  • 自动创建邮箱/密码用户需要后台处理逻辑（比如先查询设备标识对应的用户是否存在，不存在再创建），且密码需随机生成并安全存储；
  • 所有涉及设备信息的收集和使用，必须在隐私政策中明确告知用户，符合苹果隐私要求。

内容的提问来源于stack exchange，提问作者user22407520