Firebase部署后如何规范填充Firestore初始数据并创建超级用户

你考虑的带密钥校验的/setup公网端点方案不推荐在生产环境使用：这种方式本质是把数据库全量写入权限暴露在公网，哪怕配置了访问密钥，也存在密钥泄露、接口被爆破后被恶意清空/篡改数据的风险，最多只能在本地开发环境临时启用，且要加执行一次后自动失效的逻辑，绝对不能长期保留在生产代码里。

更规范的种子数据填充方案有两种，根据场景选择即可：

• 本地Admin SDK批量写入脚本
  这是最通用的初始化方案，全程在可信环境执行，不需要暴露任何公网接口：
  1. 本地安装Firebase Admin SDK，下载项目的服务账号密钥，注意把密钥文件加入.gitignore，绝对不要提交到公开代码仓库
  2. 写独立的种子执行脚本，写入前先校验目标集合是否已有数据，避免重复写入覆盖线上已有数据；写入时用Firestore的batch批量操作，注意单批次写入不要超过500条的官方限制
  3. 脚本只需要在项目首次部署前，在本地或者CI/CD的可信流程里执行一次即可
     简单的脚本参考：

  const admin = require('firebase-admin');
  const serviceAccount = require('./service-account-key.json');
  admin.initializeApp({ credential: admin.credential.cert(serviceAccount) });
  const db = admin.firestore();
  
  async function runSeed() {
    // 校验是否已有种子数据，防止重复执行
    const checkSnap = await db.collection('users').limit(1).get();
    if (!checkSnap.empty) {
      console.log('种子数据已存在，跳过写入');
      process.exit(0);
    }
    const writeBatch = db.batch();
    // 填入需要导入的用户、基础配置等种子数据
    const seedDataList = [
      // { uid: 'xxx', nickname: 'xxx', ... }
    ];
    seedDataList.forEach(item => {
      const docRef = db.collection('users').doc(item.uid);
      writeBatch.set(docRef, item);
    });
    await writeBatch.commit();
    console.log('种子数据写入完成');
  }
  
  runSeed();
  

• Firebase CLI 一键导入
  如果你已经在测试环境调好了一套完整的基础数据，可以直接用官方CLI做数据迁移：
  1. 先在测试环境执行firebase firestore:export ./seed-bak把数据导出到本地
  2. 新项目初始化时执行firebase firestore:import ./seed-bak --project=你的生产项目ID，就能一键完成全量基础数据导入，不需要手写写入逻辑

超级用户的创建同样推荐走可信环境的Admin SDK完成，不要通过公网接口创建，避免权限泄露：

• 最稳妥的方式是把超管创建逻辑和上面的种子脚本放在一起执行，核心是创建Auth账号后，给账号绑定超级管理员的自定义声明，后续API的权限校验直接解析用户ID Token里的声明做判断即可
  参考代码片段：

  async function createSuperAdmin(email, password) {
    try {
      // 创建Auth账号
      const adminUser = await admin.auth().createUser({
        email,
        password,
        emailVerified: true
      });
      // 绑定超管自定义声明
      await admin.auth().setCustomUserClaims(adminUser.uid, { superAdmin: true });
      // 同步在Firestore写入对应用户信息，和种子数据结构对齐
      await db.collection('users').doc(adminUser.uid).set({
        email,
        role: 'superAdmin',
        createTime: admin.firestore.FieldValue.serverTimestamp()
      });
      console.log('超级用户创建完成，UID：', adminUser.uid);
    } catch (err) {
      // 账号已存在的话直接绑定超管权限即可
      if (err.code === 'auth/email-already-exists') {
        const existUser = await admin.auth().getUserByEmail(email);
        await admin.auth().setCustomUserClaims(existUser.uid, { superAdmin: true });
        console.log('已为现有账号绑定超级管理员权限');
      }
    }
  }
  
  // 执行时替换成你的超管账号和强密码
  createSuperAdmin('your-admin@example.com', 'your-strong-password-123');
  

• 如果只需要创建1-2个超管账号，也可以直接在Firebase控制台的Authentication板块手动添加用户，添加完成后跑个单行Admin脚本给对应用户设置superAdmin: true的自定义声明即可。

注意：Firebase Admin SDK拥有项目的最高操作权限，所有相关脚本只能在本地、CI/CD等可信环境运行，服务账号密钥绝对不能泄露，也不要把Admin SDK逻辑集成到对外暴露的API接口里。

内容的提问来源于stack exchange，提问作者M. of CA