如何通过Firebase Auth和Firestore安全展示发帖人displayName及头像？

核心原则是避免客户端直接调用Admin级接口，通过提前存储或安全接口提供用户公开信息，同时确保敏感数据不泄露。

方案1：发布评论时同步存储公开用户信息 #

登录用户发布评论时，直接从当前用户对象中提取displayName和头像URL，和评论内容一起写入数据库（如Firestore、MongoDB等）。

示例代码（以Firebase为例）：

async function publishComment(content) {
  const currentUser = auth.currentUser;
  if (!currentUser) return;

  const publicUserInfo = {
    displayName: currentUser.displayName,
    photoURL: currentUser.photoURL,
    userId: currentUser.uid // 可选，用于后续更新信息
  };

  // 将评论与用户公开信息绑定存储
  await db.collection('comments').add({
    content,
    author: publicUserInfo,
    createdAt: new Date()
  });
}

后续读取评论时，直接从评论文档的author字段获取昵称和头像，无需调用任何Admin接口，安全且高效。
若用户后续更新个人资料，可通过数据库触发器或云函数，自动更新该用户所有历史评论中的公开信息。

方案2：搭建安全的公开用户信息接口 #

如果不想把用户信息冗余存储在评论中，可搭建一个后端接口，仅对外返回用户的公开字段（昵称、头像），并做访问限制。

示例后端逻辑（Node.js + Express）：

app.get('/api/public-user/:uid', async (req, res) => {
  const uid = req.params.uid;
  try {
    // 用Admin SDK获取用户信息，但仅返回允许公开的字段
    const userRecord = await admin.auth().getUser(uid);
    res.json({
      displayName: userRecord.displayName,
      photoURL: userRecord.photoURL
    });
  } catch (err) {
    res.status(404).json({ error: '用户不存在' });
  }
});

接口需额外做：

• 仅返回非敏感字段，绝对禁止返回邮箱、手机号等隐私数据
• 添加请求频率限制，防止恶意批量查询

客户端读取评论时，通过评论中的userId调用该接口获取用户公开信息即可。

方案3：独立存储用户公开资料集合 #

在数据库中创建public-profiles集合，每个用户登录或更新资料时，同步自己的公开信息到该集合，并通过数据库权限规则设置为所有人可读，仅用户本人可写。

示例Firestore安全规则：

match /public-profiles/{uid} {
  allow read: if true;
  allow write: if request.auth != null && request.auth.uid == uid;
}

用户发布评论时仅需存入userId，客户端读取评论后，再从public-profiles集合中获取对应用户的公开信息。这种方式既保证信息实时更新，又无需额外后端接口，完全通过数据库规则控制权限。

内容的提问来源于stack exchange，提问作者Yusuke