如何在Firebase中为注册用户创建专属信息并配置访问权限

以下方案完全兼容你当前使用的SDK版本，不需要升级依赖，分三步落地即可：

1. 调整数据存储结构 #

不要用自动生成的文档ID存用户资料，直接用Firebase Auth返回的用户uid作为文档唯一ID，减少规则匹配的复杂度：

• 新建根集合userProfiles，集合下每个文档的ID和对应用户的认证uid完全一致
• 每个文档固定保留ownerUid字段，值存储所属用户的uid，作为权限校验的锚点
• 其余字段按需存储用户自定义的个人信息，比如昵称、个人简介、头像地址等

结构示例：

userProfiles [集合]
  ├─ ejR9xJ2xxxxxxxO1zU [文档，ID对应用户A的uid]
  │   ├─ ownerUid: "ejR9xJ2xxxxxxxO1zU"
  │   ├─ nickname: "老陈"
  │   ├─ bio: "全栈开发"
  │   ├─ updatedAt: 时间戳
  └─ xY8pLq3xxxxxxxK7d [文档，ID对应用户B的uid]
      ├─ ownerUid: "xY8pLq3xxxxxxxK7d"
      └─ ...其他个人信息字段

2. 配置Firestore安全规则（核心权限拦截） #

所有权限逻辑必须在安全规则里实现，前端的权限隐藏只是体验优化，不能作为拦截依据。直接在你的现有规则里追加userProfiles集合的规则即可，原有公共信息的规则不需要改动：

service cloud.firestore {
  match /databases/{database}/documents {
    // 个人资料集合权限规则
    match /userProfiles/{profileDocId} {
      // 所有登录用户都可以读取任意用户资料，满足公开查看需求
      allow read: if request.auth != null;
      // 仅允许用户创建自己uid对应的文档，且强制写入的ownerUid必须和本人uid一致
      allow create: if request.auth != null 
                    && request.auth.uid == profileDocId
                    && request.resource.data.ownerUid == request.auth.uid;
      // 仅允许资料所属人修改、删除文档
      allow update, delete: if request.auth != null
                            && resource.data.ownerUid == request.auth.uid;
    }

    // 你之前手动录入的公共信息集合规则保持原有配置即可
    match /yourExistingPublicCollection/{docId} {
      allow read: if request.auth != null;
      allow write: if false;
    }
  }
}

3. 前端逻辑实现（5.6.0版本API兼容） #

你现有已经完成了认证模块的初始化，直接复用已有的firebase实例即可，不需要额外配置：

// 监听登录状态，拿到当前用户实例
firebase.auth().onAuthStateChanged(currentUser => {
  if (!currentUser) return
  const myUid = currentUser.uid
  const myProfileRef = firebase.firestore().collection('userProfiles').doc(myUid)

  // 拉取自己的资料填充编辑表单
  myProfileRef.get().then(snapshot => {
    if (snapshot.exists) {
      const myProfile = snapshot.data()
      // 把资料渲染到编辑页
    } else {
      // 引导首次登录用户填写个人资料
    }
  })

  // 保存/更新个人资料
  function saveMyProfile(formData) {
    return myProfileRef.set({
      ...formData,
      ownerUid: myUid, // 必须传该字段，否则创建时会被规则拦截
      updatedAt: firebase.firestore.FieldValue.serverTimestamp()
    }, { merge: true }) // 用merge模式避免覆盖已有字段
  }

  // 删除个人资料
  function deleteMyProfile() {
    return myProfileRef.delete()
  }
})

// 查看其他用户的公开资料，比如进入他人主页时调用
function getUserProfile(targetUid) {
  return firebase.firestore().collection('userProfiles').doc(targetUid).get()
    .then(snap => snap.exists ? snap.data() : null)
}

注意事项 #

• 规则发布后记得在Firebase控制台的规则模拟器里测几个场景：未登录用户访问是否被拦截、普通用户尝试修改他人资料是否被拦截、本人编辑自己资料是否放行，避免规则写错导致越权
• 如果后续需要做部分字段隐私（比如联系方式仅自己可见），可以在规则里追加字段级的校验逻辑，不需要改整体结构
• 5.6.0版本SDK对上述所有API完全兼容，不需要升级版本

内容的提问来源于stack exchange，提问作者Paul