Firebase Firestore规则合规咨询：能否避免恶意活动标记？

几个月前我用Firebase制作了一个LinkedIn克隆应用，上线一周后收到谷歌邮件通知，称该网站因疑似恶意活动被标记，可能是遭黑客攻击，也可能因为克隆属性被误判为钓鱼网站。目前我正在开发一款性质类似的新应用，用户通过Firebase Auth登录后可使用Firebase Firestore发布内容。我认为之前的Firestore规则过于宽松，因此制定了新规则，想咨询以下规则能否避免再次出现被标记的情况？

service cloud.firestore {
   match /databases/{database}/documents {
    match /posts/{postId} {
     // Only authenticated users can read or write to the "posts" collection
      allow read, write: if request.auth != null;
  
     // Only the owner of the post can update or delete it
     allow update, delete: if request.auth.uid == resource.data.uid;
  
     // Only authenticated users can create new posts
     allow create: if request.auth != null
               && request.resource.data.keys().hasAll(['title', 'content'])
               && request.resource.data.title is string
               && request.resource.data.content is string
               && request.resource.data.title.size() > 0
               && request.resource.data.content.size() > 0
               && request.resource.data.keys().size() == 2;
   }
 }

规则有效性分析 #

• 权限控制层面：这套新规则在安全管控上比之前的宽松版本严谨很多：
  • 仅允许认证用户读写posts集合，彻底阻断未授权访问路径；
  • 限定帖子所有者才能执行更新/删除操作，避免他人恶意篡改内容；
  • 创建帖子时强制校验字段完整性与合法性，要求必须包含非空的title和content字符串，且不能添加额外字段，能有效拦截恶意用户发布违规内容或垃圾数据。
• 与恶意标记的关联：这些规则能大幅降低因黑客利用规则漏洞发布恶意内容导致被标记的风险，但无法完全规避因「克隆LinkedIn属性」引发的误判——谷歌的安全检测系统会综合网站外观、域名信息、用户反馈等多维度判定，Firestore规则只是其中一个影响因素。
• 额外优化建议：
  • 为应用配置清晰独立的域名，添加明确的隐私政策页面，主动告知用户这是第三方克隆应用，减少钓鱼误判概率；
  • 启用Firebase安全规则的自动检测功能，定期排查规则漏洞；
  • 若再次收到标记通知，第一时间通过谷歌搜索控制台提交申诉，明确说明应用的合规性与用途。

内容的提问来源于stack exchange，提问作者Jerm