Firestore安全规则`request.auth.uid != null`的公开性及文档访问疑问

让我逐个拆解你的问题，帮你理清Firestore的权限逻辑：

1. 他人能否浏览profile集合的文档列表查看用户位置？ #

不能。你的当前安全规则是针对单个文档的权限控制：

match /profile/{w9o3948s} { allow read, write: if request.auth.uid != null; }

这个规则仅允许已认证用户读取或写入单个profile文档，但没有授权集合级的读取操作（比如db.collection('profile').get()这种获取整个文档列表的请求）。Firestore安全规则默认是"拒绝所有"，除非你明确配置集合级的读取权限。所以即使是已认证用户，也无法直接遍历整个profile集合来查看所有用户的位置数据。

2. 数据操作是否仅能通过你的应用代码进行？ #

不是的。只要满足安全规则的条件（已认证），任何人都可以通过Firebase客户端SDK（比如Web、Android、iOS SDK）发起请求，不一定非要用你的应用代码。举个例子：有人自己写个简单的网页，集成Firebase SDK，用自己的账号登录完成认证，就可以调用SDK来访问符合规则的profile文档。

不过要注意：项目的管理员使用Firebase Admin SDK或者Firebase控制台时，是不受这些安全规则限制的，他们可以直接访问所有数据（因为Admin SDK使用服务账户权限，绕过安全规则）。

3. 若有人知晓某文档ID，他们该如何查询该文档？ #

只要他们是已认证用户，就可以通过指定文档ID直接读取该文档。比如在Web SDK中可以这样写：

// 假设已知文档ID为"random-doc-id-123"
firebase.firestore().collection('profile').doc('random-doc-id-123').get()
  .then(doc => {
    if (doc.exists) {
      console.log(doc.data()); // 包含用户资料和位置信息
    }
  });

只要这个请求的发起者有有效的request.auth.uid（即已完成Firebase认证），你的安全规则就会允许这次读取操作。

内容的提问来源于stack exchange，提问作者Zorgan