Firebase Anonymous Auth下Firestore get权限敏感数据安全咨询

核心结论先给你 #

你对匿名Auth的风险认知是准确的，但「靠隐藏路径阻止攻击者拿全量敏感数据」是完全不成立的安全假设，属于典型的隐蔽式安全（Security through obscurity），只要你给敏感集合配的是allow get: if request.auth != null规则，攻击者拖走全量数据只是时间问题。

先纠正你一个规则认知错误 #

你提到「get权限可阻止通过Admin SDK执行list查询」，这个理解存在本质偏差：
Firebase安全规则只对客户端/Web SDK的请求生效，Admin SDK默认拥有绕过所有安全规则的最高权限，只要你没把服务账号私钥泄露出去，攻击者根本没资格用Admin SDK访问你的库，不需要靠规则挡Admin SDK的操作。
你配置只开get不开read（read是get+list的合集），实际能挡住的只有客户端SDK直接发起的列表查询请求，比如listDocuments()、listCollectionIds()这类拉取全量集合/文档列表的接口。

为什么隐藏路径防不住攻击者 #

• 匿名Auth的准入门槛为0
  你的Firebase API key本身就硬编码在前端代码里，攻击者只要扒到前端打包后的资源，直接调用匿名登录接口就能拿到合法的用户身份token，不需要破解、不需要特殊技术能力，几行代码就能搞定，这一步没有任何门槛。
• 你的路径根本藏不住
  所有Firestore的集合名、文档路径、字段名全都会明文出现在前端代码里，攻击者只要解压你打包后的JS文件，全局搜firestore()相关的调用，几分钟就能定位到你存敏感数据的集合位置，根本不需要靠list接口扫。
• 拿到集合名后拖全量数据成本极低
  只要知道集合名，不管你文档ID是自增数字、有规律的业务ID还是随机UUID，攻击者都可以写脚本批量发起get请求遍历：如果ID有规律可以直接枚举，就算是完全随机的ID，也可以通过你其他业务接口泄露的ID、前端埋点日志、历史版本泄露的路径等渠道收集到有效ID，批量拉取数据。而且因为你的规则只校验是否登录，所有请求只要带了合法匿名token就会被放行。

针对你这个场景的整改建议 #

• 存姓名、工作手机号这类敏感个人信息的集合，绝对不能用request.auth != null作为唯一鉴权条件，必须和你现有的用户私有集合保持一致的规则：文档ID和访问者UID绑定，只允许文档所属用户本人读写。
• 如果这类数据确实需要跨用户访问（比如企业内部通讯录），不要直接放开所有登录用户的get权限，要么在你自己的服务端做一层代理，加上访问频率限制、权限校验、审计日志后再转发Firestore请求，要么给敏感字段做脱敏处理后再存到可公开访问的路径。
• 额外开启Firebase App Check，能挡掉一部分直接拿API key写脚本的低级爬虫，但注意这只是附加防护层，绝对不能替代正确的安全规则配置。

最后提一句：安全规则的核心逻辑永远是「默认拒绝，最小权限开放」，只要你给某类文档开了所有登录用户可访问的get权限，不管你路径藏得多深、list接口封得多严，本质上都是把数据公开给了所有能拿到匿名token的人，不要抱侥幸心理。

内容的提问来源于stack exchange，提问作者marshalbyref