未鉴权校验Firestore指定ID文档是否存在的最佳实现方案

使用Firebase安全规则的exists()方法是实现该需求的最优轻量方案，完全符合Firebase安全设计规范，也是行业通用的最佳实践。

实现逻辑说明 #

你不需要开放整个文档树的读权限，通过安全规则的条件限制，完全可以做到仅允许未认证用户校验指定文档的存在性，同时不会泄露文档内的业务数据。

规则配置示例 #

你可以参考如下规则调整你的现有配置：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 原有规则：已认证用户保留全部正常访问权限
    match /{document=**} {
      allow read, write: if request.auth != null;
    }
    // 新增规则：仅开放指定集合的存在性校验权限给未认证用户
    match /你要校验的目标集合/{docId} {
      allow read: if 
        // 仅作用于未认证用户
        request.auth == null 
        // 校验目标文档是否存在
        && exists(/databases/$(database)/documents/你要校验的目标集合/$(docId))
        // 限制请求仅能获取文档ID，无法读取其他业务字段，避免数据泄露
        && request.query.fields.hasOnly(['__name__']);
    }
  }
}

客户端调用示例 #

前端发起请求时，仅需要查询文档ID字段即可，最终返回结果非空即代表文档存在：

// Web端示例代码
const docRef = db.collection('你要校验的目标集合').doc('待校验的文档ID');
const docSnap = await docRef.select('__name__').get();
const isExists = docSnap.exists;

备选方案（适合复杂场景） #

如果你后续需要增加限流、防ID枚举、或者其他自定义校验逻辑，也可以使用Firebase Callable Cloud Function来实现存在性校验，该方案的灵活性更高，但需要额外部署云函数，延迟和成本会略高于安全规则方案。

注意事项 #

• 如果你的文档ID是可枚举的（比如自增数字ID、规则化的字符串ID），建议额外增加安全规则的限流配置，或者选择云函数方案增加频率校验，避免恶意用户批量遍历枚举所有存在的文档ID。
• 不要省略request.query.fields的校验，避免未认证用户通过构造请求获取到文档的完整内容。

内容的提问来源于stack exchange，提问作者dan_0