Angular/Firebase 特定路由UUID免认证访问Firestore数据方案咨询

核心优化：直接用UUID作为文档ID，彻底省去条件查询 #

你当前需要做前置查询的根本原因是把自定义生成的UUID存在了文档的UUID字段中，Firestore原生支持自定义文档ID，完全可以在创建公开列表时，直接将生成的UUID作为lists集合下的文档ID写入，访问时不需要走where条件匹配，直接通过文档路径读取数据即可。
替换原有查询逻辑的代码如下：

const urlID = /* 从URL提取id的原有逻辑 */
// 直接构造目标文档的引用，无需条件查询
const listDocRef = doc(this.firestore, `lists/${urlID}`);
// 单次单文档读取，比条件查询延迟更低、消耗的读次数更少
const listSnap = await getDoc(listDocRef);
if (listSnap.exists()) {
  const publicListData = listSnap.data();
  // 执行列表渲染逻辑
} else {
  // 处理列表不存在的404场景
}

创建列表时的写入逻辑对应调整为：

const newListId = generateUUID(); // 你原有的UUID生成逻辑
const newListRef = doc(this.firestore, `lists/${newListId}`);
await setDoc(newListRef, {
  // 你的列表原有字段，不需要额外存UUID字段
  ownerId: auth.currentUser.uid,
  content: listContent,
  createTime: serverTimestamp()
});
// 生成可公开访问的URL：`/lists/public/${newListId}`

无身份认证的访问权限配置 #

你要求的「无需用户登录、仅持有URL的用户可访问对应列表、不可遍历所有列表」的需求，直接通过Firestore安全规则即可原生实现，不需要额外签发自定义访问令牌：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /lists/{listId} {
      // 写权限按你私有编辑器的需求配置，示例为仅列表创建者登录后可编辑
      allow create, update, delete: if request.auth != null && request.auth.uid == resource.data.ownerId;
      // 单文档读取权限：无登录要求，知道精确文档ID即可访问
      allow get: if true;
      // 集合级查询权限：直接禁止，杜绝未持有具体ID的用户遍历爬取所有公开列表
      allow list: if false;
    }
  }
}

安全说明：标准v4版本UUID有122位随机熵值，不存在被暴力枚举破解的可能，安全性完全满足公开分享链接的场景要求。如果需要更高安全等级，也可以替换为长度更长的高熵随机字符串作为文档ID。

关于原生令牌能力的说明 #

Firebase没有提供单独为单文档签发匿名访问令牌的独立服务，上述方案是Firebase生态下实现该类无认证、仅链接访问需求的标准通用方案，不需要额外接入其他服务即可落地。

内容的提问来源于stack exchange，提问作者Pavel Smirnov