无需Firebase Authentication的Firebase实时数据库规则配置方案

方法一：在数据库规则中直接验证自研JWT #

你可以在Firebase实时数据库规则内编写逻辑，验证自研JWT的签名、过期时间及自定义字段，确保只有携带有效令牌的请求才能访问数据。

规则示例（对称加密验证） #

{
  "rules": {
    ".read": "validateCustomJWT(request.token)",
    ".write": "validateCustomJWT(request.token)",
    "functions": {
      "validateCustomJWT": "function(token) {
        // 替换为你的JWT对称密钥（建议用非对称公钥替代，避免密钥暴露）
        const secret = 'your-custom-jwt-secret';
        try {
          const decoded = jwt.verify(token, secret, { algorithms: ['HS256'] });
          // 按需验证自定义字段，比如用户ID、权限
          return !!decoded.userId && decoded.exp > now;
        } catch (e) {
          return false;
        }
      }"
    }
  }
}

如果采用RS256非对称加密，将规则中的secret替换为你的公钥，用公钥验证签名更安全，避免对称密钥泄露风险。

方法二：生成Firebase自定义令牌（无需Firebase Auth用户） #

通过Firebase Admin SDK生成自定义令牌，嵌入自研系统的用户标识，客户端用该令牌登录后，数据库规则可基于Firebase内置的auth变量做验证，无需依赖Firebase Auth的用户管理体系。

步骤1：服务端生成自定义令牌 #

// Node.js示例（需初始化Firebase Admin SDK）
const admin = require('firebase-admin');
admin.initializeApp();

function generateFirebaseToken(userId) {
  // 传入自研系统的用户ID，无需在Firebase Auth中创建用户
  return admin.auth().createCustomToken(userId);
}

步骤2：客户端登录并访问数据库 #

// Web客户端示例
firebase.auth().signInWithCustomToken(customTokenFromServer)
  .then(() => {
    // 登录成功后正常操作数据库
    const db = firebase.database();
    db.ref('your-data-path').get();
  });

步骤3：配置安全规则 #

利用auth.uid（即自研系统的用户ID）做权限控制：

{
  "rules": {
    "user-data": {
      "$uid": {
        ".read": "auth.uid === $uid",
        ".write": "auth.uid === $uid"
      }
    },
    // 全局规则：仅允许已登录（携带有效令牌）的请求访问
    ".read": "auth !== null",
    ".write": "auth !== null"
  }
}

关键注意事项 #

• 敏感密钥（对称密钥、私钥）必须仅存于服务端，绝不能暴露在客户端代码中。
• 方法一中的规则验证逻辑尽量简洁，避免复杂计算拖慢数据库性能。
• 定期轮换加密密钥，降低密钥泄露带来的安全风险。

内容的提问来源于stack exchange，提问作者Eesa Munir