实时数据库登录认证规则优化：邮箱列表权限配置求助

问题背景 #

当前手动逐个指定授权邮箱的规则可正常生效，代码如下：

{
  "rules": {
    ".read": "
                 auth.token.email == \"xx@qq.co\"  
                 || auth.token.email == \"yy.yy@yy.co\" 
                 || auth.token.email == \"ss@ss.com\"
    ",
      
    ".write": true
  }
}

但尝试改用邮箱列表方式实现时遇到问题，错误代码示例：

{"emails":{"xx@hotmail.com", "qq@gmail.com"},
{
  "rules": {
    ".read": "auth.token.email == emails",
      
    ".write": true
  }
}

错误原因解析 #

1. JSON格式错误：规则文件本身是单一JSON对象，不能在规则外部额外定义emails属性，结构不符合规范。
2. 判断逻辑错误：直接用auth.token.email == emails将字符串与数组比较，结果永远为false，无法正确匹配授权邮箱。

两种可行解决方案 #

方案1：规则内直接定义邮箱数组 #

利用Firebase规则支持的in操作符，判断用户邮箱是否在授权列表中，同时增加登录状态校验：

{
  "rules": {
    ".read": "auth.token.email != null && auth.token.email in ['xx@qq.co', 'yy.yy@yy.co', 'ss@ss.com']",
    ".write": true
  }
}

方案2：数据库存储授权邮箱（更灵活） #

先在Realtime DB中创建authorizedEmails节点，将授权邮箱作为键存储（值设为true即可）：

{
  "authorizedEmails": {
    "xx@qq.co": true,
    "yy.yy@yy.co": true,
    "ss@ss.com": true
  }
}

然后修改规则，通过引用数据库节点判断权限：

{
  "rules": {
    ".read": "auth.token.email != null && root.child('authorizedEmails').child(auth.token.email).exists()",
    ".write": true
  }
}

这种方式无需修改规则，直接在数据库中新增/删除邮箱即可更新授权列表，适合需要动态调整权限的场景。

内容的提问来源于stack exchange，提问作者zanthez