Android Firebase能否无需认证按设备隔离存储数据？

可以实现，核心思路是利用设备唯一标识符作为Firebase数据库中数据节点的区分键，让每个设备仅读写自己专属节点下的数据。具体实现步骤如下：

1. 获取设备专属标识符 #

你可以选择两种方式获取设备唯一标识：

• 方式一：使用Android系统提供的ANDROID_ID
  这是系统分配给设备的唯一字符串，无需额外权限，代码示例：

  import android.provider.Settings
  
  val deviceId = Settings.Secure.getString(contentResolver, Settings.Secure.ANDROID_ID)
  

  注意：部分定制ROM设备可能存在ANDROID_ID重复的情况，且设备重置、刷机后该值会改变，适合对数据持久性要求不高的场景。

• 方式二：生成本地存储的UUID
  首次启动应用时生成一个随机UUID，保存到SharedPreferences中，即使设备重置，只要不卸载应用，标识就不会改变，代码示例：

  import java.util.UUID
  import android.content.Context.MODE_PRIVATE
  
  val sharedPref = getSharedPreferences("AppDevicePrefs", MODE_PRIVATE)
  val deviceId = sharedPref.getString("DEVICE_UUID", null) ?: run {
      val uuid = UUID.randomUUID().toString()
      sharedPref.edit().putString("DEVICE_UUID", uuid).apply()
      uuid
  }
  

2. 设计Firebase数据库结构 #

将所有设备的数据放在devices根节点下，每个设备的数据对应一个以deviceId命名的子节点，示例结构：

/devices
  /xxxx-xxxx-xxxx-xxxx  // 这里是设备的deviceId
    /notes
      /note1: "今天的待办"
      /note2: "买菜清单"
    /settings
      /theme: "dark"

应用读写数据时，始终指定当前设备的deviceId路径，比如读取当前设备的笔记：

val db = FirebaseDatabase.getInstance().reference
db.child("devices").child(deviceId).child("notes").addValueEventListener(/* 监听逻辑 */)

3. 配置Firebase安全规则 #

必须设置安全规则，确保每个设备只能访问自己的节点，防止恶意访问。因为没有身份认证，规则中需校验请求携带的deviceId与节点ID一致：

{
  "rules": {
    "devices": {
      "$deviceId": {
        ".read": "$deviceId === request.resource.data.deviceId",
        ".write": "$deviceId === request.resource.data.deviceId"
      }
    }
  }
}

注：写入数据时，需将当前设备的deviceId一并写入请求数据中，供规则校验。

注意事项 #

• 无身份认证的方案存在一定安全风险：如果攻击者获取到其他设备的deviceId，理论上可以访问对应数据，因此不适合存储敏感信息；
• 若对数据安全性有更高要求，建议使用Firebase匿名认证（无需用户输入账号密码），结合用户UID作为节点键，安全性会大幅提升，但这属于轻量身份认证范畴，若严格遵循“无需身份认证”的要求，可忽略此方案。

内容的提问来源于stack exchange，提问作者random1234