Firebase Firestore无用户登录写入的安全规则配置问题

方案1：匿名认证（实现成本最低，用户无感知） #

匿名认证不需要客户进行任何注册登录操作，打开网站时自动完成匿名账号登录，完全符合业务需求，具体操作步骤如下：

• 打开Firebase控制台「认证」板块，在「登录提供商」中找到「匿名」选项，启用后保存设置。
• 在Vue项目的入口逻辑（如main.js或App.vue的生命周期钩子）中添加自动匿名登录代码，用户访问站点时自动完成认证：

import { getAuth, signInAnonymously } from "firebase/auth";

const auth = getAuth();
// 无已有登录态时自动触发匿名登录
if (!auth.currentUser) {
  signInAnonymously(auth).catch(err => console.error("匿名认证失败：", err));
}

• 提交订单时，在订单数据中新增author_uid字段，赋值为当前匿名用户的uid：auth.currentUser.uid，即可匹配现有安全规则的校验条件。
• 建议补充安全规则的字段校验和权限限制，避免恶意写入：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /orders/{orderId} {
      // 仅允许已认证（匿名也算）用户创建订单，同时校验必填字段格式
      allow create: if request.auth != null 
        && request.resource.data.author_uid == request.auth.uid
        && request.resource.data.amount is number
        && request.resource.data.goodsId is string
        && request.resource.data.contactInfo is string;
      // 禁止普通用户修改/删除订单
      allow update, delete: if false;
    }
    // 其他集合规则按需单独配置
  }
}

方案2：云函数中转写入（安全性最高，适合交易场景） #

所有数据库写入操作都在服务端云函数中完成，客户端不需要任何认证，云函数自带管理员权限可绕过安全规则直接操作数据库，彻底避免客户端直接操作数据库的安全风险：

• 编写Firebase可调用云函数，用于接收订单参数、做合法性校验后写入数据库，触发邮件、写入另一个数据库的逻辑也可以同步放在该函数中处理：

// functions/index.js 云函数代码
const functions = require("firebase-functions/v1");
const admin = require("firebase-admin");
admin.initializeApp();
const db = admin.firestore();

exports.submitOrder = functions.https.onCall(async (data, context) => {
  // 服务端校验订单必填参数，避免恶意提交
  if (!data.goodsId || typeof data.amount !== "number" || !data.contactInfo) {
    throw new functions.https.HttpsError("invalid-argument", "订单参数不完整");
  }
  // 写入订单库
  const orderResult = await db.collection("orders").add({
    goodsId: data.goodsId,
    amount: data.amount,
    contactInfo: data.contactInfo,
    createTime: admin.firestore.FieldValue.serverTimestamp()
  });
  // 此处可添加触发邮件、写入另一个Firestore数据库的逻辑
  return { orderId: orderResult.id, success: true };
});

• 部署云函数后，在Vue客户端直接调用该云函数提交订单即可，不需要用户登录：

import { getFunctions, httpsCallable } from "firebase/functions";

const functions = getFunctions();
const submitOrder = httpsCallable(functions, "submitOrder");

// 订单提交逻辑
submitOrder({
  goodsId: "当前购买商品ID",
  amount: 99.9,
  contactInfo: "用户收货/联系信息"
}).then(res => {
  console.log("订单提交成功，订单ID：", res.data.orderId);
}).catch(err => {
  console.error("订单提交失败：", err);
});

• 对应调整Firestore安全规则，禁止客户端直接操作订单集合，所有写入都走云函数：

match /orders/{orderId} {
  allow read, write: if false;
}

内容的提问来源于stack exchange，提问作者mickey megabyte