如何通过Firestore规则限制访问至指定API密钥与服务账号？

1. Firebase Admin API服务账号是否绕过Firestore安全规则？ #

是的，使用Firebase Admin SDK的服务账号会完全绕过Firestore安全规则。Admin SDK基于服务账号的IAM角色权限访问资源，不受安全规则约束。

2. 仅允许服务账号更新的集合，关闭写入权限是否合理？ #

完全合理。因为Admin SDK不受规则限制，哪怕你在规则里设置allow write: if false;，服务账号依然能正常写入该集合；而普通客户端（比如移动应用）会被规则拦截，无法写入，正好符合你的需求。

3. 如何限制仅特定移动应用访问？ #

Firestore安全规则不支持直接通过API密钥做权限校验——API密钥可轻易从客户端代码中提取，用它做权限控制极不安全。

推荐的合规方案：

• 让移动应用通过Firebase Auth完成用户认证（哪怕是匿名认证），再在规则中校验用户身份或自定义声明。
• 搭配Firebase App Check：它能验证请求确实来自你的合法应用，之后可在规则中通过request.app != null确保请求经过校验，或用request.app.appId指定允许的应用ID。

示例规则（结合App Check）：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 允许通过App Check校验的合法移动应用读取数据
    match /{collection}/{document=**} {
      allow read: if request.app != null;
    }
    // sales_reps集合仅服务账号可写（规则设为false，Admin SDK绕过规则不受影响）
    match /sales_reps/{document=**} {
      allow write: if false;
    }
    // gps_tracking集合仅服务账号可写
    match /gps_tracking/{document=**} {
      allow write: if false;
    }
    // 其他集合禁止所有客户端写入
    match /{document=**} {
      allow write: if false;
    }
  }
}

4. 你现有规则的问题所在 #

你尝试用request.auth.token.email校验服务账号，但Admin SDK发起的请求不会携带request.auth信息——因为它直接绕过规则，所以这个条件永远不成立，规则完全起不到作用。

正确的做法是直接把目标集合的写入权限设为false，既能拦截普通客户端，又不影响服务账号的正常操作。

内容的提问来源于stack exchange，提问作者Ben Edgar