Firestore规则验证查询字段值：如何阻止通过Doc ID访问用户文档？

一、修复查询规则的条件验证 #

Firestore安全规则里，request.query无法直接读取查询字段值，但可以通过检查查询过滤器（filters）来验证查询条件的合法性。比如，强制所有针对users集合的查询必须包含publicId == 当前文档publicId的过滤条件，这样旧的publicId就无法匹配到有效文档：

match /users/{userId} {
  // 限制查询必须携带正确的publicId过滤条件
  allow list: if request.query.filters != null &&
    request.query.filters.any(filter =>
      filter.field == "publicId" &&
      filter.op == "==" &&
      filter.value == resource.data.publicId
    );
}

二、阻止非所有者直接访问文档 #

针对他人通过Doc ID直接访问的问题，在安全规则里限制get操作仅允许文档所有者访问（假设你的用户文档存储了用户的uid字段）：

match /users/{userId} {
  // 仅允许文档所有者直接访问
  allow get: if request.auth != null && request.auth.uid == resource.data.uid;
}

这样，即使他人拿到了Doc ID，只要不是文档所有者，就无法通过doc("users", "docId")获取到文档内容。

三、额外优化：避免暴露Doc ID #

在用户搜索返回结果时，只返回必要的公开信息（比如昵称、头像），不返回文档的Doc ID。从源头切断他人获取Doc ID的途径，根本上避免直接访问的问题。

四、备选方案：用publicId作为文档ID #

如果业务允许，可以将用户的publicId设为文档的ID，而非自动生成的Doc ID。当用户重新生成publicId时：

• 将旧publicId对应的文档标记为无效（比如添加isValid: false字段）
• 创建新的文档，用新的publicId作为ID，并设置isValid: true
• 查询时添加where("isValid", "==", true)的过滤条件

这种方式下，旧publicId对应的文档已失效，他人即使尝试访问也无法获取有效数据。

内容的提问来源于stack exchange，提问作者Veselin Ivanov