Firestore中如何通过身份验证限制特定对象键值的访问权限

两种实现方案均可行，你可以根据自己的业务场景选择：

方案1：直接通过Firebase安全规则实现（全文档仅本人可见场景优先推荐） #

不需要拆分集合，也不需要服务端介入，直接配置安全规则即可实现权限控制，示例规则如下（假设你存储对象的集合名为userObjects）：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /userObjects/{docId} {
      // 读权限校验：仅已登录用户ID和文档存储的userId一致时允许访问
      allow read: if request.auth != null && request.auth.uid == resource.data.userId;
      // 写权限可根据业务需求自定义，示例限制创建对象时只能绑定自己的userId
      allow create: if request.auth != null && request.resource.data.userId == request.auth.uid;
    }
  }
}

注意事项：

• 规则生效的前提是客户端发起查询时必须携带where("userId", "==", 当前登录用户UID)的过滤条件，Firestore会直接拒绝范围超出规则允许的查询请求，不会返回任何违规数据，不存在敏感信息泄露风险。
• 该方案的限制是只要用户有文档访问权限，就可以拿到文档内的所有字段，如果你需要文档的部分字段对所有用户公开，仅邮箱等信息敏感，该方案不适用。

方案2：拆分敏感字段到独立子集合（存在公开字段场景推荐） #

如果你的对象有非敏感字段需要公开给所有用户访问，你可以把邮箱等敏感字段拆分到/private子集合中，给子集合单独配置严格的权限规则即可，示例规则如下：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 父文档配置公开读权限
    match /userObjects/{docId} {
      allow read: if true;
      // 子集合private仅本人可访问
      match /private/{privateDocId} {
        allow read: if request.auth != null && request.auth.uid == resource.data.userId;
      }
    }
  }
}

该方案同样不需要服务端介入，客户端直接请求对应子集合的文档即可，规则会自动完成鉴权，仅匹配userId的用户可以拿到敏感数据，只有当你需要额外处理关联业务逻辑时才需要通过服务端获取。

内容的提问来源于stack exchange，提问作者Tometoyou