Firebase创建账号前安全校验用户名唯一性的规则方案求反馈

现有方案的核心风险 #

• usernames节点权限完全开放：当前规则允许任何人读写该节点，恶意用户可以随意删除、篡改所有用户名数据，甚至批量写入垃圾数据，直接破坏你的用户名唯一性校验逻辑。
• 竞态条件无法避免：就算前端先查了用户名可用，从检查完成到创建用户、写入用户名的间隙，可能有其他用户同时注册相同用户名，最终导致重复。

优化后的规则与实现思路 #

1. 调整usernames节点的安全规则 #

把usernames的结构改成用户名作为key，值对应用户UID（查询唯一性更高效，也能通过规则限制写入），规则修改如下：

{
  "rules": {
    "usernames": {
      // 未认证用户仅允许查询（检查用户名是否存在）
      ".read": "auth == null",
      // 写入规则：仅允许已认证用户写入自己的用户名，且该用户名未被占用
      ".write": "auth != null && !data.exists() && newData.val() == auth.uid"
    },
    "users": {
      "$user_id": {
        ".read": "$user_id === auth.uid",
        ".write": "$user_id === auth.uid"
      }
    }
  }
}

2. 前端流程优化 #

• 第一步：未登录状态下，查询usernames/[待检查用户名]，如果返回数据说明已被占用，提示用户更换。
• 第二步：调用CreateUserWithEmailAndPasswordAsync()创建用户，拿到用户UID后，尝试向usernames/[用户名]写入当前用户的UID。
• 第三步：如果写入失败（说明竞态条件触发，用户名被抢注），就删除刚创建的用户账号，提示用户重新选用户名。

3. 额外安全补充 #

• 建议用Cloud Functions加个触发器，监听users节点的创建事件，自动同步用户名到usernames节点，避免前端遗漏写入的情况。
• 定期清理usernames节点中没有对应users数据的无效条目，防止垃圾数据堆积。

内容的提问来源于stack exchange，提问作者oetzi