Firebase Realtime Database客户端用increment函数是否安全？如何防篡改？

直接用Realtime Database的increment()原子操作配合安全规则，是兼顾速度和防篡改的最优解——既避免了云函数的延迟，又能彻底拦截客户端的非法篡改。

核心逻辑 #

increment()本身是Realtime Database提供的原子操作，客户端调用时会直接在服务器端执行增量计算，但你担心的篡改问题可以通过安全规则严格校验增量值的合法性来解决：

1. 编写安全规则限制增量范围 #

针对点击类游戏的场景，假设每个用户的点击数存在clicks/{userId}/count路径下，你可以设置规则只允许用户修改自己的数据，并且增量必须为固定值（比如每次点击+1）：

{
  "rules": {
    "clicks": {
      "$userId": {
        ".write": "auth != null && auth.uid === $userId", // 仅允许登录用户修改自己的数据
        "count": {
          ".validate": "newData.val() === data.val() + 1 || (data.val() === null && newData.val() === 1)"
          // 校验规则：新值必须是旧值+1，或者初始值设为1（第一次点击）
        }
      }
    }
  }
}

如果有复杂场景（比如用户持有道具时允许+2），可以扩展规则读取服务器端存储的道具状态来动态校验：

".validate": "newData.val() === data.val() + (root.child('users').child($userId).child('clickBonus').val() || 1)"

这里clickBonus的值只能由服务器端（比如云函数）更新，客户端无法篡改，确保增量计算的合法性。

2. 客户端调用increment()执行点击操作 #

客户端代码直接调用increment()，即使有人篡改代码把增量改成100，安全规则会直接拒绝该请求：

import { getDatabase, ref, increment, update } from "firebase/database";

const db = getDatabase();
// 假设已通过Firebase Auth获取当前用户UID
const userClicksRef = ref(db, `clicks/${currentUser.uid}`);

// 每次点击触发的逻辑
async function handleClick() {
  try {
    await update(userClicksRef, {
      count: increment(1)
    });
    // 这里可以更新UI反馈点击成功
  } catch (error) {
    console.error("点击操作失败：", error);
  }
}

为什么不推荐https.onCall()？ #

https.onCall()需要经过云函数中转，额外的网络往返会带来明显延迟，这对需要即时反馈的点击类游戏体验影响很大。而客户端直接调用increment()配合安全规则，既能保证操作的原子性，又能达到最低延迟。

复杂场景的补充方案 #

如果你的游戏需要更复杂的服务器端逻辑（比如点击冷却、排行榜防刷），可以结合Realtime Database的云函数触发器（比如onWrite），在操作完成后进行二次校验，但核心的增量操作仍建议用客户端increment()+安全规则，避免延迟问题。

内容的提问来源于stack exchange，提问作者Syahrul