无需登录防止Firestore垃圾数据：React Native点餐Demo技术问询

针对你提到的无需用户注册就能下单，同时避免无认证写入的安全风险，这里有几个落地的方案，其中你考虑的「自动注册追踪客户端」其实对应Firebase的匿名认证，是最直接的解决方案：

1. 优先用Firebase匿名认证（Anonymous Authentication） #

这完全符合你的需求：无需用户输入任何信息，自动为用户创建临时账号，既能追踪客户端，又能通过安全规则限制数据写入。

实现步骤： #

• 在React Native中初始化Firebase匿名登录：

import { getAuth, signInAnonymously } from "firebase/auth";

const auth = getAuth();
signInAnonymously(auth)
  .then(() => {
    // 登录成功，拿到当前匿名用户的UID
    const userId = auth.currentUser.uid;
    // 后续下单时，将订单数据关联这个UID
  })
  .catch((error) => {
    // 处理登录失败（极少发生，除非网络问题）
    const errorCode = error.code;
    const errorMessage = error.message;
  });

• 配置Firebase Firestore（或Realtime Database）的安全规则，限制只有认证用户能写入自己的订单：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 允许认证用户创建自己的订单，只能修改/删除自己的订单
    match /orders/{orderId} {
      allow create: if request.auth != null;
      allow read, update, delete: if request.auth.uid == resource.data.userId;
    }
  }
}

优势： #

• 完全无用户交互，零使用阻碍
• 自带用户身份标识，能有效防止恶意批量写入
• 匿名账号可以后续关联正式账号（手机号/邮箱），保留用户订单数据

2. 结合App Check增强安全性 #

即使使用匿名认证，仍可能被恶意脚本伪造请求，搭配Firebase App Check可以验证请求来自你的合法React Native应用：

• 在Firebase控制台开启App Check，选择React Native对应的验证方式（比如SafetyNet for Android，App Attest for iOS）
• 在React Native项目中集成App Check SDK，初始化后自动为请求添加验证令牌，Firebase会拒绝未通过验证的请求

3. 限制订单写入的频次和数据结构 #

在安全规则中额外添加限制，防止单个用户恶意提交大量订单：

match /orders/{orderId} {
  allow create: if request.auth != null 
    && request.resource.data.userId == request.auth.uid
    // 限制订单数据字段，防止写入垃圾内容
    && request.resource.data.keys().hasAll(['foodItems', 'total', 'userId'])
    // 限制单个用户1分钟内最多提交3个订单
    && get(/databases/$(database)/documents/user_orders/$(request.auth.uid)).data.orderCount < 3
    && request.time < get(/databases/$(database)/documents/user_orders/$(request.auth.uid)).data.lastOrderTime + duration.value(60, 's');
}

（需要额外维护每个用户的订单计数和最后下单时间，或者用Firebase的扩展来实现频次限制）

4. 可选：临时设备标识+App Check（不推荐单独使用） #

如果不想用匿名认证，可以用设备ID作为标识，但设备ID容易被伪造，必须搭配App Check：

• 获取React Native的设备ID（比如用react-native-device-info库的getUniqueId()）
• 在写入订单时携带设备ID，安全规则中验证请求已通过App Check，同时限制同一设备ID的写入频次
• 缺点：设备ID可能随设备重置或更换而变化，无法跨设备保留用户订单

内容的提问来源于stack exchange，提问作者Ethan Lipson