Firestore报permission-denied错误 未注册用户如何访问校验邮箱是否被占用

方案1：修改Firestore安全规则开放有限查询权限 #

该方案无需额外后端代码，仅通过规则限制未登录用户仅可进行邮箱查重操作，不会暴露其他用户数据：

1. 更新Firestore规则如下：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 针对存储用户信息的集合（示例为users集合，可根据你的实际路径修改）
    match /users/{userId} {
      // 未登录用户仅允许有限的邮箱查重操作
      allow read: if request.auth == null 
        && request.query.limit == 1
        && request.query.where.size() == 1
        && request.query.where.keys().hasOnly(['email'])
        && request.query.where['email'].op == 'EQUAL';
      // 保留原有已登录用户权限：仅可读写自身用户数据
      allow read, write: if request.auth != null && request.auth.uid == userId;
    }
    // 其他集合的原有权限保留，全量操作需要登录
    match /{document=**} {
      allow read, write: if request.auth != null;
    }
  }
}

2. 前端实现邮箱查重逻辑示例（Web端JS）：

import { collection, query, where, limit, getDocs } from "firebase/firestore";
import { db } from "./你的Firebase初始化文件路径";

// 调用方法即可返回邮箱是否已注册
async function checkEmailExists(inputEmail) {
  const userCollectionRef = collection(db, "users");
  const searchQuery = query(userCollectionRef, where("email", "==", inputEmail), limit(1));
  const queryResult = await getDocs(searchQuery);
  return !queryResult.empty;
}

方案2：通过Firebase云函数实现（安全性更高） #

如果担心规则配置出错导致数据泄露，可以选择不开放Firestore的匿名访问权限，通过服务端云函数处理查重逻辑：

1. 云函数代码示例：

const functions = require("firebase-functions");
const admin = require("firebase-admin");
admin.initializeApp();
const db = admin.firestore();

exports.checkEmailRegistered = functions.https.onCall(async (data, context) => {
  const inputEmail = data.email;
  // 先校验邮箱格式合法性
  if (!inputEmail || !/^\w+([-+.]\w+)*@\w+([-.]\w+)*\.\w+([-.]\w+)*$/.test(inputEmail)) {
    throw new functions.https.HttpsError("invalid-argument", "输入的邮箱格式不合法");
  }
  const querySnapshot = await db.collection("users").where("email", "==", inputEmail).limit(1).get();
  return { isRegistered: !querySnapshot.empty };
});

2. 前端调用云函数示例：

import { getFunctions, httpsCallable } from "firebase/functions";

const functionsInstance = getFunctions();
const checkEmailCallable = httpsCallable(functionsInstance, "checkEmailRegistered");

// 调用示例
checkEmailCallable({ email: "test@example.com" }).then(res => {
  const { isRegistered } = res.data;
  if (isRegistered) {
    // 邮箱已被注册的逻辑
  } else {
    // 邮箱可用的逻辑
  }
})

注意事项 #

• 方案1的规则中必须严格限制查询条件，禁止未登录用户无限制查询users集合，避免全量用户邮箱数据泄露
• 两种方案都限制了单次仅查询1条数据，杜绝批量爬取数据的可能
• 如果你存储用户邮箱的集合/字段名和示例不同，对应修改路径和字段名即可

内容的提问来源于stack exchange，提问作者KAYZORK