Firestore规则配置：未认证用户如何读取用户名查重？

直接修改Firestore规则实现需求 #

可行，但得精准配置规则，避免泄露邮箱、姓名这类敏感数据。你可以针对usercollection集合单独设置规则，允许未认证用户仅做用户名是否存在的查询，无法读取其他字段或完整文档。

示例规则：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 保留原有全局规则，认证用户仍拥有全读写权限
    match /{document=**} {
      allow read, write: if request.auth != null;
    }
    // 开放usercollection的用户名查询权限给未认证用户
    match /usercollection/{userId} {
      allow read: if request.auth == null 
                  && request.resource.data.keys().hasOnly(['username'])
                  && request.query.limit == 1;
    }
  }
}

这么配置后，未认证用户只能发起仅查询username字段、且限制返回1条结果的请求，刚好满足检查用户名是否被占用的需求，同时碰不到其他敏感数据。

替代方案：创建独立的用户名集合 #

要是不想修改原有规则，或者想更稳妥，可以单独建一个usernames集合，每个文档只存储username字段（比如把用户名设为文档ID或字段值），然后给这个集合开放未认证用户的读取权限：

示例规则：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 保留原有全局规则
    match /{document=**} {
      allow read, write: if request.auth != null;
    }
    // 开放usernames集合的读取权限给未认证用户
    match /usernames/{username} {
      allow read: if request.auth == null;
      allow write: if request.auth != null; // 仅认证用户能写入，防止恶意刷数据
    }
  }
}

注册前，未认证用户查询这个usernames集合就行，完全隔离了敏感的用户数据，安全性更高。

注意事项 #

• 不管用哪种方案，都得防范恶意批量爬取用户名：可以加查询频率限制、验证码，或者在规则里限定只能精确匹配，不能模糊查询。
• 用独立集合的话，注册时要同时往usercollection和usernames写入数据，保证两边数据一致。

内容的提问来源于stack exchange，提问作者Jonathan Sigg