如何提升Firebase用户名登录场景下的数据库查询安全性？

你当前给user节点配置全局.read: true确实存在明确安全隐患：

• 未登录的任意用户都可以直接拉取user节点下的全量数据，你存储在该节点下的所有用户信息（包括绑定邮箱、昵称、注册时间以及其他可能存在的隐私字段）都能被批量爬取，极易引发撞库、垃圾营销等问题。
• 你当前的登录逻辑需要查询用户名对应的绑定邮箱，全局开放读权限相当于把「用户名-绑定邮箱」的全量映射关系完全公开，攻击者可以批量枚举有效用户名，直接降低撞库攻击的成本。

你不需要放弃用户名登录的实现逻辑，有两种成熟方案可以在保留现有功能的前提下修复风险：

方案1：调整安全规则（改造成本最低） #

你已经为username字段配置了索引，完全不需要开放整个user节点的读权限，可以把规则修改为仅允许针对用户名的精准单条查询，禁止全量拉取：

"rules": {
    "user":{
        ".read": "query.orderByChild == 'username' && query.equalTo != null",
        ".indexOn": ["username"],
        "$uid": {
            ".read": "$uid == auth.uid",
            ".write" :"auth != null && $uid == auth.uid"   
        }  
    }
}

调整后的规则效果：

• 未登录用户仅能携带「指定用户名等于某值」的查询条件，命中对应的单条用户记录，无法直接拉取全量用户列表
• 已登录用户仅能读取自身uid对应的完整节点数据，无法访问其他用户的非公开信息
• 你原有的客户端查询逻辑几乎不需要改动，即可正常运行

注意：建议将user节点下的字段做拆分，公开信息（用户名、头像等）和隐私信息（绑定邮箱、手机号等）分开存储，避免精准查询时泄露不必要的隐私字段。

方案2：通过云函数做代理查询（安全性最高） #

把「根据用户名查询绑定邮箱」的逻辑迁移到服务端云函数实现，完全关闭user节点的未登录读权限：

• 客户端将用户输入的用户名提交给云函数
• 云函数通过管理员权限查询数据库中对应用户名的绑定邮箱，可额外叠加请求频率限制、人机校验等防枚举逻辑，校验通过后再将邮箱结果返回给客户端
• 客户端拿到邮箱后，继续走原有的邮箱密码登录流程即可

该方案可以完全把数据库访问逻辑收敛到服务端，从根源上避免未授权的批量数据爬取问题。

内容的提问来源于stack exchange，提问作者floogflug