如何安全更新Firestore中的"balance"字段？

直接通过客户端调用update修改余额确实存在风险——即便启用了Firestore规则和AppCheck，恶意用户仍可能通过篡改客户端请求来刷取积分。以下是几种更可靠的安全实现方式：

1. 用Firebase Cloud Functions处理核心逻辑（推荐） #

把余额更新的判断和计算放到服务端执行，客户端仅触发操作，不直接操控余额数值：

• 客户端调用Callable函数，传入操作类型（比如「完成任务」「消费积分」）和必要参数，不传递具体的余额变更值
• 云函数内先验证用户身份（通过context.auth），再根据操作类型校验合法性（比如任务是否已完成、消费金额是否超过余额），最后用事务完成余额更新，避免并发冲突

客户端示例（JS） #

const updateBalance = firebase.functions().httpsCallable('updateBalance');
updateBalance({ action: 'complete_task', taskId: 'task_123' })
  .then(result => {
    console.log('余额更新成功:', result.data.newBalance);
  })
  .catch(error => {
    console.error('更新失败:', error);
  });

云函数示例（JS） #

exports.updateBalance = functions.https.onCall(async (data, context) => {
  // 校验用户是否登录
  if (!context.auth) {
    throw new functions.https.HttpsError('unauthenticated', '用户未登录');
  }
  const userId = context.auth.uid;
  const userDocRef = admin.firestore().collection('users').doc(userId);

  let change = 0;
  // 根据操作类型计算合法的余额变更
  switch (data.action) {
    case 'complete_task':
      // 额外校验任务是否可重复完成，防止刷分
      const taskDoc = await admin.firestore().collection('tasks').doc(data.taskId).get();
      if (!taskDoc.exists || taskDoc.data().completedBy.includes(userId)) {
        throw new functions.https.HttpsError('invalid-argument', '任务无法重复完成');
      }
      await taskDoc.ref.update({ completedBy: admin.firestore.FieldValue.arrayUnion(userId) });
      change = 10;
      break;
    case 'spend_points':
      const userDoc = await userDocRef.get();
      if (!userDoc.exists || userDoc.data().balance < data.amount) {
        throw new functions.https.HttpsError('failed-precondition', '余额不足');
      }
      change = -data.amount;
      break;
    default:
      throw new functions.https.HttpsError('invalid-argument', '不支持的操作类型');
  }

  // 事务更新余额，避免并发操作导致的数值错误
  return admin.firestore().runTransaction(async t => {
    const doc = await t.get(userDocRef);
    if (!doc.exists) {
      throw new functions.https.HttpsError('not-found', '用户不存在');
    }
    const newBalance = doc.data().balance + change;
    t.update(userDocRef, { balance: newBalance });
    return { newBalance };
  });
});

2. 强化Firestore规则，限制仅能增量更新 #

如果必须保留客户端更新逻辑，要严格限制只能通过增量变更修改余额，禁止直接赋值：

• 规则里只允许使用FieldValue.increment()修改balance字段
• 同时限制单次变更的数值范围，防止大额异常修改

Firestore规则示例 #

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /users/{userId} {
      allow update: if request.auth != null && request.auth.uid == userId
        && request.resource.data.keys().hasOnly(['balance'])
        // 确保是增量更新，而非直接赋值
        && request.resource.data.balance == resource.data.balance + (request.resource.data.balance - resource.data.balance)
        // 限制单次变更范围：-100到+100，可根据业务调整
        && (request.resource.data.balance - resource.data.balance) >= -100
        && (request.resource.data.balance - resource.data.balance) <= 100;
    }
  }
}

客户端正确调用方式 #

// 合法：使用增量更新
firebase.firestore().collection('users').doc(userId).update({
  balance: firebase.firestore.FieldValue.increment(10)
});

// 非法：直接赋值会被规则拦截
firebase.firestore().collection('users').doc(userId).update({
  balance: 1000
});

3. 额外安全补充 #

• 记录余额变更日志：每次更新余额时，在balance_logs集合中添加一条记录，包含用户ID、变更金额、操作类型、时间戳，方便事后审计异常行为
• 监控异常操作：通过Firebase Analytics追踪用户的余额变更频率，若某用户短时间内多次触发余额增加，及时告警排查

内容的提问来源于stack exchange，提问作者faccio