Firebase Realtime DB如何关闭规则不安全的警告邮件？

当前规则合理性评估 #

• 现有规则存在明确的权限溢出问题，并不完全适配你的场景：
  1. 读权限过宽：任何已登录用户都可以拉取整个user-states节点的全量数据，直接暴露所有活跃用户的UID列表，若你的业务有用户隐私合规要求，该配置存在合规风险。
  2. 写权限过宽：任何已登录用户不仅可以修改自己对应的状态值，还可以任意修改、新增其他用户的状态，甚至可以批量写入大量无效垃圾数据，即便数据篡改不影响业务逻辑，也可能导致你的Firebase实例产生超额的存储、带宽费用，造成不必要的成本损失。

更适配的安全规则方案 #

针对你仅记录用户在线状态的场景，可以直接限定每个用户仅能操作自己对应的节点，规则配置如下：

{
  "rules": {
    "user-states": {
      "$uid": {
        ".read": "auth.uid == $uid",
        ".write": "auth.uid == $uid && newData.exists()"
      }
    }
  }
}

如果你的统计逻辑需要拉取全量user-states数据，直接使用Firebase服务账号调用接口即可，服务账号默认会绕过安全规则限制，不影响原有统计逻辑。配置该规则后，平台的不安全规则警告会自动消失。

关于关闭警告邮件的说明 #

如果你坚持使用原有规则，确实可以手动在Firebase控制台的通知设置中关闭相关警告邮件，但所有由权限过宽引发的风险需要自行承担，包括但不限于超额成本、合规风险等。

内容的提问来源于stack exchange，提问作者Glenn Posadas