React Native接入Firebase Realtime Auth如何区分家长与教师两类用户

下面是两种适配不同场景的落地实现方式，都可以和你现有邮箱密码登录、Realtime Database的技术栈兼容：

方案1：自定义用户声明（Custom Claims，轻量角色场景优先选） #

这种是Firebase Auth原生支持的角色存储方式，不需要额外操作数据库，权限校验效率更高：

• 实现步骤：
  1. 用户注册时先让其选择「家长」/「教师」身份，完成邮箱密码注册拿到用户uid后，通过Firebase Admin SDK（必须走后端调用，前端没有修改声明的权限）给用户绑定角色声明
  2. 后端设置声明的核心代码（Node.js Admin SDK示例）：

  // 给指定uid的用户设置家长身份
  await admin.auth().setCustomUserClaims(uid, { role: 'parent' })
  // 给教师用户设置对应角色
  await admin.auth().setCustomUserClaims(uid, { role: 'teacher' })
  

  3. React Native前端登录后，直接从用户token中解析角色：

  const idTokenResult = await firebase.auth().currentUser.getIdTokenResult();
  const userRole = idTokenResult.claims.role; // 直接返回'parent'或'teacher'
  

  4. Realtime Database安全规则可以直接用声明做权限控制，示例配置：

  {
    "rules": {
      "teacher-only-resource": {
        ".read": "auth.token.role === 'teacher'",
        ".write": "auth.token.role === 'teacher'"
      },
      "parent-only-resource": {
        ".read": "auth.token.role === 'parent'",
        ".write": "auth.token.role === 'parent'"
      }
    }
  }
  

• 适用场景：仅需要区分角色、不需要存储大量用户扩展属性的场景，优点是权限校验不需要查库，速度快；缺点是单个用户声明最大仅支持1000字节，修改角色后需要用户刷新token或者重新登录才生效。

方案2：Realtime Database存储用户角色（需要扩展用户属性优先选） #

如果除了角色之外，你还要存储家长关联的孩子信息、教师的任职学校/授课年级等扩展属性，直接存在Realtime Database里更灵活：

• 实现步骤：
  1. 用户注册完成拿到uid后，直接在Realtime Database的users节点下写入用户身份信息：

  const uid = firebase.auth().currentUser.uid;
  await firebase.database().ref(`users/${uid}`).set({
    email: firebase.auth().currentUser.email,
    role: userSelectedRole, // 用户注册时选的'parent'或'teacher'
    // 其他自定义字段，比如家长的childId、教师的schoolId等
  });
  

  2. 前端登录后直接请求users/${uid}节点的数据，即可拿到用户角色，做对应功能的展示/跳转控制
  3. 安全规则配置示例：

  {
    "rules": {
      "teacher-only-resource": {
        ".read": "root.child('users').child(auth.uid).child('role').val() === 'teacher'",
        ".write": "root.child('users').child(auth.uid).child('role').val() === 'teacher'"
      }
    }
  }
  

• 适用场景：需要存储大量用户扩展属性的场景，优点是修改角色实时生效，不需要刷新token；缺点是每次权限校验都需要查询一次users节点，效率略低于自定义声明。

安全注意事项 #

不管用哪种方案，都要禁止前端自行修改角色值：

• 用自定义声明的场景，不要把Admin SDK的密钥泄露到前端，所有声明修改操作必须走后端
• 用数据库存角色的场景，给users节点加如下安全规则，禁止用户修改自己的role字段：

{
  "rules": {
    "users": {
      "$uid": {
        "role": {
          ".write": false // 只有拥有Admin权限的服务端能修改角色
        }
      }
    }
  }
}

内容的提问来源于stack exchange，提问作者Zeeshan Yousaf