Firestore大数据集下自定义令牌细粒度权限控制方案咨询

1. 仅在Custom Token中存储用户有权限的文档是否可行？ #

完全可行，这是优化Custom Token体积的核心思路之一。

你可以将Token的payload设计为权限映射对象，只保留用户实际拥有权限的文档ID和对应角色，示例结构如下：

{
  "permissions": {
    "doc_xyz123": "admin",
    "doc_abc456": "user",
    "doc_def789": "semi-admin"
  }
}

无权限的文档不会出现在Token中，默认即无访问权限。按照你提到的最多6个权限文档的规模，这种结构的总字节数会远低于1000字节的限制。

在Firestore Security Rules中，可通过以下逻辑验证权限：

match /documents/{docId} {
  // 基础权限验证：用户对该文档有任一角色
  allow read: if request.auth.token.permissions[docId] in ["admin", "semi-admin", "user"];
  // 细化写入权限：仅admin角色可写
  allow write: if request.auth.token.permissions[docId] == "admin";
}

2. Cloud Function/Security Rule查询用户配置文件的问题 #

直接在Security Rules中查询用户权限文档确实会产生大量读取操作——每个请求都触发一次权限文档读取，高并发场景下会显著提升成本和延迟。如果用户量或请求量较大，这种方案不推荐。

若一定要采用此方式，建议将用户所有权限集中存储在单个文档中（比如/users/{uid}/permissions），而非分散存储，这样每次请求仅需读取一次文档，尽可能降低开销。

3. 类似Custom Token但基于文档的权限机制思路 #

如果想要更贴近"基于文档而非用户"的权限控制，可参考以下几种方案：

方案一：反向存储权限到文档 #

在每个文档中维护授权用户列表，比如添加authorized_users字段存储用户ID与角色的映射：

{
  "authorized_users": {
    "user_123": "admin",
    "user_456": "user"
  }
}

Security Rules验证逻辑如下：

match /documents/{docId} {
  allow read: if request.auth.uid in resource.data.authorized_users;
  allow write: if resource.data.authorized_users[request.auth.uid] == "admin";
}

缺点是权限变更时需要更新多个文档，维护成本较高；若文档数量极大，操作成本会显著上升。

方案二：基于权限组的映射 #

将文档按权限逻辑分组，创建permission_groups集合，每个组文档包含授权用户列表和关联的文档ID列表。用户的Custom Token中仅存储所属权限组ID及对应角色：

{
  "group_permissions": {
    "group_projectA": "admin",
    "group_projectB": "user"
  }
}

文档中添加group_id字段标记所属组，Security Rules验证逻辑：

match /documents/{docId} {
  allow read: if request.auth.token.group_permissions[resource.data.group_id] != null;
  allow write: if request.auth.token.group_permissions[resource.data.group_id] == "admin";
}

这种方式能大幅减少Token数据量，适合批量文档权限管理，缺点是需要维护文档与组的映射关系。

方案三：定期刷新Custom Token的动态权限 #

结合Cloud Function实现权限动态更新：当用户权限变更时，标记用户需刷新Token；客户端在登录时或定期调用Cloud Function生成新的Custom Token，确保Token中权限始终最新。

该方案既保留了Custom Token在Security Rules中的高效性（无需额外读取），又能灵活更新权限，是平衡性能与灵活性的常用方案。

内容的提问来源于stack exchange，提问作者Pieter Pienaar