Firestore安全规则实现：无账号验证的私密内容授权访问

核心思路 #

通过Firebase Cloud Functions处理验证逻辑（避免前端直接操作Firestore带来的安全风险），结合你现有的Firestore文档结构，完成邮箱+密码的双重校验，校验通过后返回内容给前端展示。

具体实现步骤 #

1. 前端交互流程 #

• 受邀用户通过分享链接进入页面（链接中携带目标文档的documentId）
• 页面展示输入框，收集用户的邮箱地址和6位passcode
• 用户提交后，将documentId、邮箱、passcode一起发送到部署好的Cloud Function接口

2. Cloud Functions验证逻辑 #

编写一个Callable Function，核心代码逻辑如下：

const functions = require("firebase-functions");
const admin = require("firebase-admin");
admin.initializeApp();

exports.verifyAccess = functions.https.onCall(async (data, context) => {
  const { docId, email, passcode } = data;
  
  // 检查参数完整性
  if (!docId || !email || !passcode) {
    throw new functions.https.HttpsError("invalid-argument", "缺少必要参数");
  }

  try {
    // 获取目标文档
    const docRef = admin.firestore().collection("你的集合名称").doc(docId);
    const docSnap = await docRef.get();

    if (!docSnap.exists) {
      throw new functions.https.HttpsError("not-found", "文档不存在");
    }

    const docData = docSnap.data();
    // 双重校验passcode和邮箱权限
    if (docData.passcode !== passcode || !docData.allowed_users.includes(email)) {
      throw new functions.https.HttpsError("permission-denied", "邮箱或密码错误，无法访问");
    }

    // 校验通过，返回内容
    return { content: docData.content };
  } catch (error) {
    throw new functions.https.HttpsError("internal", "服务器错误", error.message);
  }
});

3. Firestore安全规则加固 #

添加安全规则，禁止前端直接读取文档，确保只有Cloud Function能合法访问：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /你的集合名称/{doc} {
      allow read: if false; // 禁止前端直接读取
      allow write: if request.auth != null; // 仅允许已创建者写入，可按需调整
    }
  }
}

4. 前端展示逻辑 #

调用Cloud Function接口后，若返回成功则渲染content内容；若返回错误，直接提示用户对应信息（如邮箱不在允许列表、密码错误等）

额外优化建议 #

• 可为passcode添加过期时间字段，提升内容安全性
• 邀请链接可生成短链，方便用户分享
• 前端提前对邮箱格式、passcode长度做校验，减少无效请求

内容的提问来源于stack exchange，提问作者achalla