如何安全允许未认证用户与Firestore交互？附群组抽奖场景

方案1：匿名身份验证+安全规则扩展 #

这是最轻量化的实现方式，无需额外服务中转：

• 用户点击邀请链接后，应用先触发Firebase匿名登录：firebase.auth().signInAnonymously()
• 在群组文档（users/uid/groups/groupid）中新增invitedUsers数组，存入所有被邀请人的personName
• 修改Firestore安全规则，允许符合条件的匿名用户访问：

  match /users/{userId}/groups/{groupId} {
    allow read, write: if 
      // 保留原创建者权限
      (request.auth != null && request.auth.uid == userId) ||
      // 匿名用户需在邀请列表内
      (request.auth != null && request.auth.isAnonymous && 
       exists(/databases/$(database)/documents/users/$(userId)/groups/$(groupId)) &&
       resource.data.invitedUsers.hasAny([request.query.personName]));
  }
  

• 邀请链接保留原有的groupId和personName参数即可，前端拿到参数后用匿名身份发起Firestore请求，由安全规则校验权限。

方案2：一次性访问令牌（推荐） #

这个方案安全性最高，能避免身份冒充和重复访问：

• 创建群组时，为每个被邀请人生成唯一一次性令牌（比如用UUID生成），在群组文档里新增inviteTokens映射结构，格式为：{ "令牌值": { "personName": "xxx", "used": false } }
• 邀请链接调整为包含groupId、personName和token三个参数
• 更新安全规则，验证令牌有效性：

  match /users/{userId}/groups/{groupId} {
    allow read, write: if 
      (request.auth != null && request.auth.uid == userId) ||
      (request.auth != null && 
       exists(/databases/$(database)/documents/users/$(userId)/groups/$(groupId)) &&
       resource.data.inviteTokens[request.query.token] != null &&
       !resource.data.inviteTokens[request.query.token].used &&
       resource.data.inviteTokens[request.query.token].personName == request.query.personName);
  }
  

• 用户点击链接后，先完成匿名登录，发起Firestore请求时带上所有参数；首次访问成功后，立即将该令牌的used字段设为true（可通过客户端操作，安全规则需允许更新used字段）
• 优势：令牌不可伪造，使用后立即失效，彻底杜绝恶意篡改或重复参与的问题，且完全基于Firebase原生能力，维护成本低。

方案3：Cloud Function代理访问（不推荐） #

也就是你考虑的编码uid到链接+云函数中转的方案：

• 邀请链接加入加密后的userId（密钥存在Cloud Function环境变量中）
• 用户点击链接后，前端将参数传给Cloud Function，云函数解密userId后直接访问Firestore，再把数据返回给前端
• 劣势：增加架构复杂度，需要维护加密密钥，且云函数调用存在成本和延迟，不如直接用Firebase的身份验证+安全规则体系高效。

方案对比与最优选择 #

• 方案1适合快速上线，但存在personName被篡改的风险（比如有人修改链接参数冒充他人）
• 方案2是最优选择：安全性拉满，实现逻辑清晰，完全依托Firebase原生生态，后续维护成本低。

内容的提问来源于stack exchange，提问作者Paweł Owczarek