Google Cloud Functions操作Firestore的安全规则及身份认证判定

云函数的默认身份与规则豁免 #

云函数调用Firestore时，默认使用项目的App Engine默认服务账号（格式：[项目ID]@appspot.gserviceaccount.com）执行操作。这个服务账号属于项目管理员身份，默认会绕过Firestore安全规则，直接拥有对所有集合的读写权限。你设置的allow read, write: if request.auth != null;规则，只会限制前端未认证用户的请求，不会影响云函数的后台操作。

特殊场景下的规则适用 #

如果你的云函数是前端用户触发的HTTP函数，且你主动验证用户ID Token后，以该用户的身份操作Firestore（比如通过admin.auth().verifyIdToken()解析用户UID，再调用Firestore API），此时操作会受安全规则约束——需要确保该用户符合你设置的request.auth != null条件，并且拥有对应集合的读写权限。

最佳实践建议 #

1. 后台任务类函数（定时/文档触发）：保持默认服务账号权限即可，这类函数通常需要不受限制地执行批量更新、数据清理等后台操作，安全规则不会对其生效。
2. 需遵循规则的云函数：如果希望云函数操作也受安全规则管控，可以：
   • 模拟用户身份：通过admin.auth().createCustomToken()生成自定义Token，用该Token初始化Firestore客户端，以指定用户身份执行操作，此时完全遵循安全规则。
   • 限制服务账号IAM权限：在Google Cloud IAM中，将App Engine服务账号的Firestore权限限定为特定操作（比如仅允许写入某集合），即使安全规则放开，也能通过IAM实现权限管控。

内容的提问来源于stack exchange，提问作者Mark Nugromentry