能否在Firebase实时数据库规则中使用应用内变量设置安全读写权限？

核心结论 #

不行，你没法直接在Firebase实时数据库规则里引用客户端应用内定义的变量（比如Java代码里的int a;）。

原因说明 #

Firebase数据库规则是运行在Firebase服务器端的逻辑，和你的客户端应用代码完全隔离——服务器根本无法获取客户端本地变量的值，而且你写的if (a==0)语法也不符合Firebase规则的规范，这种写法不会生效。

正确的权限管控方案 #

以下是几种常用的安全规则配置方式：

1. 基于用户身份验证（最常用） #

要求用户先通过Firebase Auth登录，仅允许已登录用户读写数据：

{
  "rules": {
    ".read": "auth != null",
    ".write": "auth != null"
  }
}

如果要限制特定用户（比如仅UID为abc123的管理员）：

{
  "rules": {
    ".read": "auth.uid === 'abc123'",
    ".write": "auth.uid === 'abc123'"
  }
}

2. 基于数据库内的权限开关 #

如果需要类似全局开关的控制，可以在数据库中专门存储权限状态节点，规则读取该节点的值来判断权限：

{
  "rules": {
    // 严格控制权限开关节点的读写，仅管理员能修改
    "permissions": {
      ".read": false,
      ".write": "auth.uid === 'admin-uid'"
    },
    // 其他节点的权限依赖开关状态
    ".read": "root.child('permissions').child('readAllowed').val() === true",
    ".write": "root.child('permissions').child('writeAllowed').val() === true"
  }
}

3. 基于自定义令牌的权限声明 #

如果需要更灵活的权限控制，可以在后端生成Firebase自定义令牌，为用户添加自定义权限声明（比如isAllowed: true），然后在规则中校验该声明：

{
  "rules": {
    ".read": "auth.token.isAllowed === true",
    ".write": "auth.token.isAllowed === true"
  }
}

内容的提问来源于stack exchange，提问作者Dmytro Parkhomenko