Firebase单项目多环境数据库访问控制配置合理性与实现咨询

首先得明确：在单个Firebase项目下管理test、preprod、prod多环境数据库，并通过用户/用户组做访问控制的思路是非常合理的——既能统一管理项目资源，又能精准隔离不同环境的访问权限，完全符合企业级项目的权限管控需求。

下面是具体的配置步骤：

1. 创建多环境数据库实例 #

首先你需要为每个环境创建独立的数据库实例：

• 如果用Cloud Firestore：在Firebase控制台的「Firestore数据库」页面，点击「创建数据库」，选择合适的模式（后续用安全规则锁权限，初期选测试模式也没关系），然后为每个环境命名，比如test-db、preprod-db、prod-db。
• 如果用实时数据库：在「实时数据库」页面，点击「添加数据库」，指定不同的实例URL后缀（比如your-project-id-test），创建三个独立实例。

2. 标记用户的访问权限组 #

Firebase没有内置的用户组功能，但可以通过自定义声明给用户打上权限标签，比如区分「prod权限用户」和「普通用户」：

• 你可以用Firebase Admin SDK批量设置（适合批量用户），示例Node.js代码：

const admin = require('firebase-admin');
admin.initializeApp();

// 给需要访问prod的用户设置prod权限声明
admin.auth().setCustomUserClaims('目标用户UID', { accessLevel: 'prod' })
  .then(() => console.log('权限标签已更新'));

// 给普通用户设置non-prod权限声明
admin.auth().setCustomUserClaims('普通用户UID', { accessLevel: 'non-prod' });

• 如果是少量用户，也可以直接在Firebase控制台的「身份验证」→「用户」列表里，编辑单个用户的「自定义声明」（手动输入JSON格式的声明内容，比如{"accessLevel":"prod"}）。

注意：用户设置自定义声明后，需要重新登录才能获取到最新的权限标签。

3. 编写安全规则实现权限控制 #

根据不同数据库类型，编写对应的安全规则，让规则自动识别用户权限和目标数据库实例，实现访问控制：

针对Cloud Firestore的规则 #

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 仅拥有prod权限的用户可访问prod-db
    match /{document=**} {
      allow read, write: if database == 'prod-db' && request.auth != null && request.auth.token.accessLevel == 'prod';
      // test和preprod允许普通用户和prod权限用户访问
      allow read, write: if (database == 'test-db' || database == 'preprod-db') && request.auth != null && (request.auth.token.accessLevel == 'non-prod' || request.auth.token.accessLevel == 'prod');
    }
  }
}

针对实时数据库的规则 #

{
  "rules": {
    ".read": false,
    ".write": false,
    // 针对每个数据库实例设置权限
    "prod-db": {
      ".read": "auth != null && auth.token.accessLevel == 'prod'",
      ".write": "auth != null && auth.token.accessLevel == 'prod'"
    },
    "test-db": {
      ".read": "auth != null && (auth.token.accessLevel == 'non-prod' || auth.token.accessLevel == 'prod')",
      ".write": "auth != null && (auth.token.accessLevel == 'non-prod' || auth.token.accessLevel == 'prod')"
    },
    "preprod-db": {
      ".read": "auth != null && (auth.token.accessLevel == 'non-prod' || auth.token.accessLevel == 'prod')",
      ".write": "auth != null && (auth.token.accessLevel == 'non-prod' || auth.token.accessLevel == 'prod')"
    }
  }
}

4. 验证配置是否生效 #

• 用Firebase控制台的「规则模拟器」：模拟不同权限的用户，尝试访问不同数据库实例，检查是否符合预期的权限限制。
• 让实际用户登录测试：分别用prod权限用户和普通用户登录，尝试读写不同环境的数据库，确认权限控制生效。

额外小贴士 #

如果需要更复杂的用户组管理（比如动态调整组权限、支持多个组），可以在Cloud Firestore里专门建一个userGroups集合存储用户-组映射，然后在安全规则里读取这个集合的数据来验证权限——不过对于你当前的需求，自定义声明已经足够简单高效了。

内容的提问来源于stack exchange，提问作者kk.