修改Firebase Realtime Database规则后安卓应用登录失效求助

• 数据库节点键值与安全规则匹配逻辑完全错配：当前注册流程在OTP验证成功、FirebaseAuth登录完成的回调里，使用手机号作为users节点下的子键存储用户数据，即执行reference.child(phoneNo).setValue(...)，但你配置的安全规则要求users下的子节点键必须与当前登录用户的FirebaseAuth UID完全相等，才能通过读写权限校验，两者的键值体系完全不重合，自然无法通过权限检查。
• 登录流程未建立有效FirebaseAuth会话就发起数据库访问：登录页校验用户名密码的逻辑，是直接对users根节点发起按用户名筛选的全量查询，这一步没有提前完成FirebaseAuth身份认证，请求携带的auth.uid为空，既不满足“节点键与auth.uid相等”的校验条件，也没有users根节点的基础读权限，请求会被实时数据库直接拒绝。
• 错误处理逻辑完全缺失：代码中数据库事件的onCancelled回调是空实现，所有权限拒绝、网络异常的错误都会被静默吞掉，界面没有任何反馈，看起来就像登录功能完全失效。
• 登录逻辑架构与安全目标冲突：如果要实现遍历所有用户的用户名做匹配，就必须给users根节点开放全局读权限，这和你“仅允许用户访问自身数据”的安全设计目标完全相悖，且明文存储密码的实现本身存在极高的安全泄露风险。

• 修正用户数据存储的节点键：OTP验证完成、FirebaseAuth登录成功后，存储用户附加信息时，不再使用手机号作为节点键，改为使用当前登录用户的UID作为节点键，即reference.child(FirebaseAuth.getInstance().getCurrentUser().getUid()).setValue(userHelperClass)，保证节点键与规则中的$uid参数完全匹配，用户登录后访问自身节点的权限校验就能正常通过。
• 重构登录认证逻辑：放弃在实时数据库中存储明文密码、自行校验账号的实现，将身份认证逻辑完全交给FirebaseAuth体系。注册阶段可同步调用createUserWithEmailAndPassword创建对应认证账号，登录阶段通过邮箱+密码完成FirebaseAuth登录，拿到有效会话后再读取自身UID节点下的用户附加信息，既符合安全规则要求，也从根本上避免明文密码泄露的风险。
• 补全错误回调逻辑：在onCancelled方法中增加日志打印、Toast提示，将数据库返回的错误信息展示出来，后续遇到权限问题可以直接定位根因，不会再出现无感知的流程失效。
• 如果必须保留“用户名+密码”的登录形式，需要调整安全规则适配查询需求，同时不开放全节点读权限，仅对按用户名单条查询的操作放行，可参考规则写法：

{
  "rules": {
    "users": {
      ".read": "auth != null && query.orderByChild == 'username' && query.limitToFirst == 1",
      "$uid": {
        ".read": "auth.uid == $uid",
        ".write": "auth.uid == $uid"
      }
    }
  }
}

注意：该规则下依然存在密码泄露风险，不建议长期使用。

内容的提问来源于stack exchange，提问作者ibrahim