Firestore查询如何排除指定字段？子文档字段如何设置查询条件？

一、排除指定字段返回的实现 #

Firestore 原生没有直接指定排除字段的查询能力，仅支持通过 select() 方法显式声明需要返回的字段，间接实现排除敏感字段的需求。该操作在服务端完成，不会把排除的字段返回给前端，可完全避免敏感字段泄露。

示例：需要查询 users 集合文档，排除 created_at 字段，仅返回 name、age 字段，Web SDK 写法如下：

const userQuery = db.collection('users')
  .where('age', '>', 18)
  .select('name', 'age');

二、敏感字段存储为嵌套对象时的条件查询 #

如果将所有不需要返回的敏感字段统一存到文档内的嵌套对象（例如命名为 _private）中，可直接通过点语法查询嵌套对象内的字段作为过滤条件，查询时只要不在 select() 中声明该嵌套对象，所有敏感字段都不会被返回。

示例文档结构：

{
  "name": "张三",
  "age": 20,
  "_private": {
    "created_at": 1690000000,
    "internal_level": 3
  }
}

查询 internal_level 大于等于2的用户，同时不返回任何敏感字段的写法：

const filteredQuery = db.collection('users')
  .where('_private.internal_level', '>=', 2)
  .select('name', 'age');

三、安全规则兜底 #

为了彻底避免敏感字段被恶意请求获取，需要补充 Firestore 安全规则限制查询的返回字段，示例规则如下：

match /users/{userId} {
  allow read: if request.query.keys().hasAll(['name', 'age']) && request.query.size() == 2;
}

内容的提问来源于stack exchange，提问作者pie