如何安全公开Firestore子集合中评论发布者的用户UID

1. 调整Firestore安全规则 #

你当前使用的全库通配符规则权限粒度过粗，会强制所有访问都需要认证，首先需要拆分路径权限，针对公开的水管工资料、评论路径单独放开未认证读权限：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 公开的水管工资料路径，允许未认证用户读
    match /plumbers/{plumberId} {
      allow read: if true;
      // 写权限保留给认证的管理员/水管工本人，可根据你的业务调整校验逻辑
      allow write: if request.auth != null;
      
      // 对应水管工的评论路径，允许未认证用户读
      match /reviews/{reviewId} {
        allow read: if true;
        // 评论写入限制：仅认证用户可发，且发布者UID必须和当前登录用户一致，防止冒充
        allow create: if request.auth != null && request.resource.data.publisherUid == request.auth.uid;
        // 评论修改/删除仅允许发布者本人或者管理员操作
        allow update, delete: if request.auth != null && resource.data.publisherUid == request.auth.uid;
      }
    }

    // 其他私有路径保留原有的认证要求
    match /{document=**} {
      allow read, write: if request.auth != null;
    }
  }
}

注：上面的路径需要和你实际的数据库结构对齐，如果你的评论存放在其他根集合，调整对应match路径即可

2. 安全公开评论发布者UID的注意事项 #

Firebase用户的UID本身属于公开标识符，只要做好以下限制，直接在评论中返回发布者UID是安全的：

• 不要将用户敏感数据（手机号、私人联系方式、未公开的收货地址等）和UID绑定后公开，用户的私有数据集合（比如/users/{userId}）需要配置规则仅允许用户本人或者授权角色访问，禁止未认证用户读取
• 不要开放可通过UID批量遍历所有用户数据的接口/规则，避免数据爬取风险
• 如果需要展示评论发布者的公开信息（昵称、头像），建议单独维护一个publicUserProfiles/{uid}的根集合，只存允许公开的用户信息，配置该集合允许未认证用户读取即可

3. 额外安全优化建议 #

• 评论写入时强制校验字段，禁止传入除了公开内容、发布者UID、评分、时间之外的多余敏感字段
• 可以添加评论审核机制，违规内容可隐藏，避免公开不良信息

内容的提问来源于stack exchange，提问作者Stas Pegov