Firebase安全规则auth != null对客户端查询失效如何修复

Firebase Auth的状态恢复是异步操作，页面刷新后你立即发起数据库请求时，onAuthStateChanged还未触发，Auth状态尚未完成初始化，此时请求携带的鉴权信息为null，因此被auth != null的安全规则拦截。你在控制台打印auth变量时看到不为空，是因为浏览器控制台打印引用类型对象时展示的是你点开查看时的最终状态，而非请求发起时的实时状态，你修改规则为auth == null可访问也刚好印证了请求发起时Auth确实处于未登录状态。

1. 所有需要鉴权的数据库请求全部移入onAuthStateChanged的已登录分支 #

你当前拉取db-bank节点的逻辑应该是写在onAuthStateChanged回调之外的，调整代码结构即可：

firebase.initializeApp(config);
firebase.analytics();
var auth = firebase.auth();
// 可以添加全局加载状态，避免页面空白或误操作
let isAuthInitialized = false;

auth.onAuthStateChanged(user => {
  isAuthInitialized = true;
  if (user) {
    // 已登录状态下再发起数据库请求
    firebase.database().ref('db-bank/').once('value')
      .then(snapshot => {
        // 处理获取到的数据
      })
      .catch(err => console.log(err));
  } else {
    // 未登录逻辑，比如跳转到登录页
  }
});

2. 封装Auth初始化Promise适配async/await写法 #

如果你的代码逻辑依赖异步等待的写法，可以封装工具函数确保Auth初始化完成后再执行后续操作：

function waitForAuthInit() {
  return new Promise((resolve) => {
    if (auth.currentUser !== null || isAuthInitialized) {
      resolve(auth.currentUser);
      return;
    }
    const unsubscribe = auth.onAuthStateChanged(user => {
      unsubscribe();
      resolve(user);
    });
  });
}

// 调用示例
async function fetchData() {
  const user = await waitForAuthInit();
  if (!user) return;
  const snapshot = await firebase.database().ref('db-bank/').once('value');
  // 处理数据
}

• 服务端如果使用admin SDK操作数据库，默认会绕过所有安全规则，不受auth != null限制，只有客户端发起的请求才会走你配置的安全规则校验
• 如果项目使用了前端路由（Vue/React等），需要在路由守卫逻辑中同样等待Auth初始化完成后再放行受保护的路由，避免进入页面后立即发起请求仍触发权限错误

内容的提问来源于stack exchange，提问作者Shean