为何Cloud Functions不受Firestore安全规则限制仍可写入？

这是个很常见的误区——Cloud Functions里使用的Firebase Admin SDK默认会完全绕过Firestore的安全规则，它依赖的是项目服务账户的权限（默认是Editor级别，拥有全量读写权限），所以你设置的禁止写入规则对它完全不起作用。下面给你几个可行的解决思路：

1. 直接限制服务账户的IAM权限（最简单的无代码方案） #

如果你的Cloud Functions根本不需要写入Firestore的权限，直接去Google Cloud控制台的IAM页面，找到你的Firebase项目的服务账户（通常命名为 firebase-adminsdk-xxx@<你的项目ID>.iam.gserviceaccount.com），把它的角色从「Editor」改成更严格的组合，比如「Firebase Admin SDK Administrator Service Agent」+「Cloud Datastore User」（只读权限），或者直接自定义一个仅拥有读取权限的角色。这样服务账户就没有写入权限了，函数自然无法执行写入操作。

2. 在函数内部手动校验写入合法性（适合需要部分写入权限的场景） #

如果你的函数需要在特定条件下才能写入，那就在代码里自己实现校验逻辑，替代安全规则的作用。比如：

• 检查触发写入的源是否符合业务要求（比如是否来自认证用户的合法操作）
• 验证要写入的数据是否符合预期格式或权限要求

举个JavaScript的示例：

exports.onDocumentAdded = functions.firestore.document('private-data/{docId}').onCreate(async (snap, context) => {
  const newDocData = snap.data();
  
  // 示例：只允许写入包含合法认证用户ID的文档
  if (!newDocData.userId || !await validateUser(newDocData.userId)) {
    // 不符合条件，直接返回，不执行后续写入操作
    console.log("Invalid write attempt blocked");
    return null;
  }

  // 符合条件的情况下再执行必要的写入逻辑（如果有的话）
  await admin.firestore().collection('logs').add({
    userId: newDocData.userId,
    timestamp: Date.now()
  });
});

// 辅助函数：验证用户是否为合法认证用户
async function validateUser(userId) {
  try {
    const userRecord = await admin.auth().getUser(userId);
    return userRecord ? true : false;
  } catch (error) {
    return false;
  }
}

3. 使用非Admin SDK访问Firestore（严格遵守安全规则） #

如果你希望函数的操作完全遵守你设置的安全规则，可以放弃Admin SDK，改用普通客户端SDK的方式访问Firestore。具体步骤是：

• 创建一个专门的服务用户（通过Firebase Auth）
• 在函数中获取该用户的ID令牌
• 用这个令牌初始化Firestore客户端，这样所有操作都会受安全规则约束

不过这个方案相对复杂，需要处理令牌的获取和过期，适合对权限控制要求极高的场景。

总结一下：最常用的方案是前两种——不需要写入就直接锁IAM权限，需要部分写入就在函数里加校验逻辑。

内容的提问来源于stack exchange，提问作者Jorn