Android | Firestore Rules 校验用户名手机号唯一性如何避免全局读权限警告

首先你需要删除原有规则中match /{document=**}下配置的allow read: true;全局开放读权限，这是消除安全告警的核心操作。在此基础上你可以选择以下任意一种方案满足登录前校验用户名、手机号唯一性的需求：

方案1：单独配置Users集合的受限读权限（无需修改客户端代码） #

你可以为Users集合配置针对性的读规则，仅允许未登录用户执行符合要求的唯一性校验查询，禁止其他未授权的读操作，规则示例如下：

service cloud.firestore {
  match /databases/{database}/documents {
    match /{document=**} {
      allow read: if request.auth.uid != null;
      allow write: if request.auth.uid != null;
    }
    match /Users/{userID} {
      // 未登录用户仅允许做手机号/用户名的唯一性校验查询
      allow read: if request.auth == null
        && request.query.limit == 1
        && (request.query.where.keys().hasOnly(["phone"]) || request.query.where.keys().hasOnly(["username"]));
      allow update: if request.auth.uid == userID 
          && (request.resource.data.username == resource.data.username
         || isUserNameAvailable(request.resource.data.username)
      );
    }
  }
}

该规则限制未登录用户只能对phone或username做单字段精确匹配查询，且每次查询最多返回1条结果，既满足你的业务需求，也避免了全集合数据泄露的风险。

方案2：通过云函数封装校验逻辑（安全性更高，推荐） #

如果你完全不想对外暴露Users集合的读权限，可以将校验逻辑迁移到云函数实现：

• 编写一个Firebase可调用云函数，接收客户端传入的手机号、用户名参数，云函数侧直接查询Firestore判断是否唯一并返回结果
• 客户端删除原有直接查询Firestore的校验代码，改为调用该云函数完成唯一性校验
• 安全规则中不需要开放Users集合的未登录读权限即可正常运行

该方案完全规避了客户端直接查询用户集合的风险，不会出现被恶意遍历拖库的问题，安全性更高。

可选补充方案 #

如果你的业务流程支持，可以在校验前先触发Firebase匿名登录，拿到临时auth.uid后再做唯一性校验，后续用户完成正式登录后可将匿名账号与正式账号合并，无需开放任何未登录读权限。

内容的提问来源于stack exchange，提问作者Ankit Rath