Firebase Security Rules如何查询集合文档判断指定邮箱是否已存在

问题根源 #

Firebase安全规则运行在独立的服务端环境中，不支持客户端SDK的firebase.firestore()这类调用语法，firebase全局对象在规则环境中不存在，这是报错的直接原因。

另外你原有代码还有两个逻辑问题：

1. 规则内查询集合文档有专门的内置函数，不能用客户端get()写法
2. 判断逻辑写反：你要实现的是「邮箱未被占用才允许创建」，返回profiles != null反而会变成「邮箱已被占用才允许创建」

正确修改方案 #

使用安全规则内置的exists()函数做集合条件查询即可，完整规则示例如下：

service cloud.firestore {
  match /databases/{database}/documents {
    // 自定义校验函数
    function allowToCreateProfileWithEmail(email) {
      // 判断profiles集合中不存在匹配当前邮箱的文档
      return !exists(/databases/$(database)/documents/profiles.where("email", "==", email));
    }

    match /profiles/{profileId} {
      // 增加request.auth非空校验，避免未登录用户恶意调用
      allow create: if request.auth != null && allowToCreateProfileWithEmail(request.resource.data.email);
      // 其他权限逻辑可以继续往下加
    }
  }
}

注意事项 #

• 安全规则中每执行一次exists()查询都会计入一次读操作费用，需要留意成本控制
• 提前为profiles集合的email字段创建单字段索引，避免查询触发索引缺失报错
• 如果你使用Firebase Auth做用户认证，建议额外增加校验request.resource.data.email == request.auth.token.email，避免用户恶意注册占用他人邮箱

内容的提问来源于stack exchange，提问作者Sergei Eensalu