Firebase实时数据库安全规则：如何仅允许特定字段写入？

我拥有一个Firebase实时数据库，数据结构如下：

{
  "messages": { 
     "message1": {
        "uuid": "1234",
        "content": "Lorem ipsum",
        "locked": true
     }
  }
}

我希望允许对uuid和content字段进行写入操作，但禁止对locked字段写入，能否通过安全规则实现该需求？在Firestore中可通过如下代码实现该限制：

request.resource.data.keys().hasOnly(
  ['uuid', 'content']
)

请问Firebase实时数据库能否实现同样的效果？

Firebase实时数据库完全可以实现这种字段写入限制，只是规则语法和Firestore有所不同，我们可以通过request.resource结合数据校验来达成需求，具体分两种常见场景处理：

1. 新建消息节点时限制字段 #

如果是创建全新的message节点，要确保写入的数据只包含uuid和content两个字段，可以用如下规则：

{
  "rules": {
    "messages": {
      "$messageId": {
        ".write": "request.resource.keys().hasOnly(['uuid', 'content'])"
      }
    }
  }
}

这里request.resource.keys()会获取写入数据的所有字段名，hasOnly方法直接校验字段是否仅包含指定的两个，逻辑和你在Firestore中用的写法思路一致。

2. 更新现有消息节点时禁止修改locked #

如果是更新已存在的message节点，核心是确保locked字段要么保持原有值，要么写入数据里根本不碰这个字段。可以用两种写法实现：

写法一：字段级校验 #

{
  "rules": {
    "messages": {
      "$messageId": {
        ".write": true,
        "uuid": { ".validate": true },
        "content": { ".validate": true },
        "locked": { ".validate": "newData.val() == data.val()" }
      }
    }
  }
}

这种写法给locked字段单独加校验，强制它的值必须和现有数据一致，无论其他字段怎么改，locked都不能变。

写法二：合并新建与更新逻辑 #

如果要同时支持新建和更新场景，可以把两种逻辑整合：

{
  "rules": {
    "messages": {
      "$messageId": {
        ".write": "(!data.exists() && request.resource.keys().hasOnly(['uuid', 'content'])) || (data.exists() && request.resource.data.locked == data.data.locked)"
      }
    }
  }
}

这条规则的意思是：要么是创建新节点且仅包含允许的字段，要么是更新已有节点且locked字段值未被修改。

内容的提问来源于stack exchange，提问作者Nick