Firebase Firestore 如何配置仅持有准确文档ID时才允许读取文档？

完全存在可落地的权限配置方案，适配Firestore、CloudBase等主流文档型云数据库的规则引擎，即可精准实现你需要的“仅持有准确文档ID可读、无法批量拉取全量文档”的访问效果，和Google Docs“仅持有正确访问链接即可打开文档、无法枚举所有文档”的逻辑完全一致。

核心权限规则逻辑 #

从两层做权限拦截，精准匹配两类操作的访问控制：

• 拒绝docs集合的全量批量读取：所有直接针对整个docs集合发起的查询、批量拉取请求，直接拒绝访问权限。
• 放行单文档路径的读取请求：所有指向docs集合下带具体文档ID的单文档路径的读取操作，直接允许访问。

参考规则语法示例（以Firebase Firestore的规则引擎语法为例，其他同类型文档数据库的规则逻辑可完全参照适配）

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 拦截docs集合根路径的直接访问（对应批量拉取全量文档的操作）
    match /docs {
      allow read: if false;
    }
    // 放行docs下任意具体文档的单文档访问（对应带准确docId的单文档读取操作）
    match /docs/{docId} {
      allow read: if true;
    }
  }
}

实际运行效果校验 #

• 执行db.collection('docs').get()批量拉取全量文档时，请求会命中集合根路径的拒绝规则，直接返回权限校验错误，操作失败，符合预期。
• 执行db.doc('docs/${docId}').get()携带准确文档ID读取指定文档时，请求会匹配到具体单文档路径的放行规则，正常返回对应文档内容，操作成功，符合预期。

落地注意事项 #

• 确认数据库规则引擎的匹配优先级：绝大多数文档型数据库的规则遵循“路径越精确，优先级越高”的逻辑，单文档路径的放行规则不会被集合根路径的拦截规则覆盖，不会出现权限冲突。
• 不要额外开放集合级的筛选查询权限：如果给docs集合开放了带字段筛选的查询权限，用户就可以通过构造全量匹配的筛选条件，绕过集合拦截批量爬取文档，完全失去访问限制的意义。
• 安全强度和文档ID的不可枚举性强绑定：和Google Docs用长随机字符串做访问标识的安全逻辑一致，如果你给文档分配的ID是连续自增数字、有规律的短字符串，用户可以通过遍历ID的方式批量爬取文档，需要给文档生成无规律的长随机ID，从根源避免枚举风险。

内容的提问来源于stack exchange，提问作者LambentLight