无用户认证场景下如何提升Cloud Firestore安全性？

你当前触发安全告警的直接原因是规则里配置了全路径下allow read: if true，这意味着任何拿到你Firebase项目配置的人（前端代码泄露、APP反编译、网页抓包都能轻松拿到，前端存储的apiKey本身不属于保密信息），都可以无限制遍历读取你整个数据库的所有内容，还可能通过高频刷读耗尽你的配额产生超额账单。

安全规则的核心原则是默认全拒，白名单放通，绝对不要用/{document=**}这种匹配全路径的规则做开放配置，你可以参考下面的逻辑调整：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 全局默认：所有路径的读写请求默认全部拒绝
    match /{document=**} {
      allow read, write: if false;
    }
    // 单独放通业务确实需要公开读取的集合/文档，按实际业务路径添加
    match /publicPosts/{postId} {
      // 只允许读标记为已发布的公开文档，禁止读取未公开草稿等敏感内容
      allow read: if resource.data.isPublic == true && resource.data.status == "published";
      // 保留原有写入校验逻辑，额外加字段白名单，防止篡改非业务字段
      allow write: if request.auth != null 
        && request.auth.uid == request.resource.data.author_uid
        && request.resource.data.keys().hasOnly(["title", "content", "author_uid", "isPublic", "status", "publishTime"])
        && request.resource.data.isPublic is bool
        && request.resource.data.publishTime is timestamp;
    }
    // 其他需要公开读的路径，按照上面的格式单独配置，禁止图省事开全局读
  }
}

频次限制只能作为兜底防护，完全无法替代安全规则的权限配置，原因如下：

• Firestore安全规则本身没有内置单IP、单请求源的频次拦截能力，你没法直接在规则里配置“单IP每分钟最多读100次”这类逻辑。
• 即使你通过Cloud Armor、Firebase App Check等配套工具做了频次拦截，也只能防高频暴力爬取，攻击者完全可以用低速爬取的方式（比如每分钟只发几次请求），花几天时间把你全量公开的数据拖走，只要你开了全局读，这个风险就始终存在。

• 优先接入Firebase App Check：整个接入过程用户完全无感知，不需要登录操作，它会自动校验请求来源是否是你自己的正版网页/APP，拦截脚本、模拟器、伪造来源的恶意请求，能挡住90%以上的未授权爬取和刷流量行为。网页端可对接reCAPTCHA，安卓对接Play Integrity，iOS对接App Attest，不需要用户做任何交互。
• 敏感数据绝对不要放在公开读路径下：后台配置、未发布内容、用户隐私信息这类数据，必须单独配置访问规则，绝对不能跟着全局公开。
• 配置配额和账单告警：在GCP控制台给Firestore读请求数、账单金额设置多级阈值告警，万一出现恶意刷流量的情况能第一时间止损，避免产生意外超额费用。
• 如果需要写入能力又不想做显式登录，可以开启Firebase匿名登录：用户打开应用时会在后台自动生成匿名uid，不需要输入账号密码、不需要做任何操作，完全满足你原有写入规则里的auth校验逻辑，不会给用户增加任何使用负担。

内容的提问来源于stack exchange，提问作者doqukan