为何Firebase实时数据库写入限制规则未生效？

一、退出登录后仍可写入数据库的原因 #

• Auth状态缓存或同步延迟：Firebase Auth默认会将用户会话持久化到本地存储，调用signOut()后，客户端缓存的认证令牌可能未立即失效，导致数据库请求仍携带有效凭证。可以通过FirebaseAuth.getInstance().currentUser检查用户状态是否为null；也可调用FirebaseDatabase.getInstance().purgeOutstandingWrites()清除未完成的请求，或重启App后再测试。
• 规则未发布生效：检查Firebase控制台的实时数据库规则页面，确保最新规则已发布，而非停留在草稿状态。未发布的规则不会生效，可能仍在使用旧的宽松配置。
• 存在其他有效会话：排查是否触发了其他登录方式（如匿名登录、第三方登录），导致App中存在其他认证用户，满足.write规则的auth != null条件。

二、仅允许指定邮箱/密码用户读取数据库的规则配置 #

方式1：通过邮箱限制 #

{
  "rules": {
    ".read": "auth != null && auth.email === 'xxx@gmail.com'",
    ".write": "auth != null && auth.uid === 'MY_ADMIN_USER_UID'"
  }
}

方式2：通过UID限制（更稳定，UID不随邮箱变更） #

{
  "rules": {
    ".read": "auth != null && auth.uid === 'MY_ADMIN_USER_UID'",
    ".write": "auth != null && auth.uid === 'MY_ADMIN_USER_UID'"
  }
}

额外安全优化 #

可同时验证邮箱和UID，进一步提升安全性：

{
  "rules": {
    ".read": "auth != null && auth.uid === 'MY_ADMIN_USER_UID' && auth.email === 'xxx@gmail.com'",
    ".write": "auth != null && auth.uid === 'MY_ADMIN_USER_UID'"
  }
}

测试规则时，可使用Firebase控制台的规则模拟器验证不同状态下的读写权限，确保配置符合预期。

内容的提问来源于stack exchange，提问作者Tessan