如何配置Firestore规则兼顾浏览器安全与Cloud Function访问

问题核心 #

你当前的Cloud Function错误使用了Firebase客户端SDK（firebase/firestore）访问Firestore，而非Admin SDK。客户端SDK的请求会严格遵守Firestore安全规则，而云函数环境中客户端SDK默认未携带用户认证信息，触发request.auth != null规则时就会返回403权限错误。

解决方案 #

方案1：改用Firebase Admin SDK访问Firestore（推荐）

Admin SDK以服务端身份运行，默认拥有绕过Firestore安全规则的权限，既能保证浏览器端规则生效，又不影响云函数正常访问。

修改云函数中的Firestore调用代码：

import * as admin from 'firebase-admin';

// 初始化Admin SDK（只需调用一次）
admin.initializeApp();

// 使用Admin SDK操作Firestore
const firestore = admin.firestore();
const docRef = firestore.doc(`jobs/${uid}`);
const docSnap = await docRef.get();
const docData = docSnap.data() as admin.firestore.DocumentData | undefined;

方案2：在客户端SDK中传递用户认证信息（按需使用）

如果需要云函数请求遵守Firestore安全规则（模拟用户身份访问），可以从客户端请求的Bearer令牌中提取用户信息，传递给客户端SDK：

1. 从云函数请求头中获取并验证Bearer令牌：

import { getAuth } from 'firebase/auth';
import { initializeApp, getApps } from 'firebase/app';
import { getFirestore, doc, getDoc } from 'firebase/firestore';

// 确保客户端SDK只初始化一次
let app;
if (!getApps().length) {
  app = initializeApp(firebaseConfig);
} else {
  app = getApps()[0];
}

// 解析请求头中的Bearer令牌
const authHeader = req.headers.authorization;
if (!authHeader || !authHeader.startsWith('Bearer ')) {
  throw new Error('缺少有效认证令牌');
}
const idToken = authHeader.split(' ')[1];

// 验证令牌并获取用户信息
const decodedToken = await admin.auth().verifyIdToken(idToken);

// 使用用户身份访问Firestore
const firestore = getFirestore(app);
const docRef = doc(firestore, 'jobs', uid);
const docSnap = await getDoc(docRef);
const docData = docSnap.data() as DocumentData | undefined;

安全规则保持当前设置即可 #

你设置的allow read, write: if request.auth != null;规则可以有效限制浏览器端必须登录才能访问Firestore，而使用Admin SDK的云函数请求会自动绕过该规则，无需修改规则。

内容的提问来源于stack exchange，提问作者Kildareflare