获取注册用户createdAt与imageURL时遇Firebase权限拒绝错误求助

问题根源 #

你遇到的Listen at /Users failed: DatabaseError: Permission denied错误，核心原因是Firebase实时数据库的安全规则限制了你的读取请求。从你提供的规则截图来看，当前规则应该是要求必须是已认证用户才能读写数据库，但你的代码里没有处理用户认证逻辑，或者当前设备没有登录用户，所以触发了权限拦截。

另外提一句：代码里变量名dateSevenDaysAgo和逻辑里的“近10天”不符，属于笔误，虽然不影响权限问题，但建议改成dateTenDaysAgo避免混淆。

解决方案 #

根据场景需求，提供三种可行处理方式：

方式1：临时开放权限（仅开发测试用） #

如果是开发阶段要快速验证功能，可以临时修改规则允许所有用户读取Users节点（上线前必须改回安全规则，否则会泄露数据）：

{
  "rules": {
    "Users": {
      ".read": true,
      ".write": "auth != null"
    }
  }
}

方式2：添加用户认证逻辑（生产环境推荐） #

生产环境必须用安全规则，你需要先完成Firebase用户认证，再发起数据库请求。下面是匿名登录的示例（适合无需用户注册的场景）：

// 先完成匿名登录
FirebaseAuth.getInstance().signInAnonymously()
        .addOnCompleteListener(task -> {
            if (task.isSuccessful()) {
                // 登录成功后再执行数据库查询
                loadRecentUsers();
            } else {
                Log.e("AuthError", "匿名登录失败", task.getException());
            }
        });

// 把原查询逻辑封装成方法
private void loadRecentUsers() {
    DatabaseReference databaseRef = FirebaseDatabase.getInstance().getReference(REF_USERS);
    Calendar calendar = Calendar.getInstance();
    calendar.add(Calendar.DAY_OF_MONTH, -10);
    SimpleDateFormat dateFormat = new SimpleDateFormat("yyyy-MM-dd HH");
    String dateTenDaysAgo = dateFormat.format(calendar.getTime());
    Query query = databaseRef.orderByChild(EXTRA_CREATED_AT).startAt(dateTenDaysAgo);
    
    query.addChildEventListener(new ChildEventListener() {
        @Override
        public void onChildAdded(@NonNull DataSnapshot dataSnapshot, @Nullable String previousChildName) {
            User user = dataSnapshot.getValue(User.class);
            // 替换assert，避免空指针崩溃
            if (user != null) {
                userList.add(user);
                userAdapter.notifyDataSetChanged();
            }
        }

        @Override
        public void onChildChanged(@NonNull DataSnapshot dataSnapshot, @Nullable String previousChildName) {}

        @Override
        public void onChildRemoved(@NonNull DataSnapshot dataSnapshot) {}

        @Override
        public void onChildMoved(@NonNull DataSnapshot dataSnapshot, @Nullable String previousChildName) {}

        @Override
        public void onCancelled(@NonNull DatabaseError databaseError) {
            // 新增错误日志，方便排查问题
            Log.e("DatabaseError", "查询失败: " + databaseError.getMessage());
        }
    });
}

方式3：优化规则，仅允许读取符合条件的数据（更安全） #

如果不想开放全部权限，可以修改规则，只允许读取近10天的用户数据（要求createdAt字段是标准时间格式字符串）：

{
  "rules": {
    "Users": {
      ".read": "query.orderByChild == 'createdAt' && query.startAt >= now - 10*24*60*60*1000",
      ".write": "auth != null"
    }
  }
}

这种规则会验证查询条件，只有当请求是按createdAt排序且起始时间在10天内时，才允许读取，既满足需求又保证数据安全。

额外提示 #

• 不要用assert user != null，一旦user为空会直接崩溃，换成if (user != null)的判断更稳妥。
• 生产环境务必关闭开放权限的规则，防止数据泄露。

内容的提问来源于stack exchange，提问作者Alhe Mora