Firestore规则全拒绝时 Cloud Functions onCreate触发器在模拟器仍执行排查

你看到makeUppercase在Firestore全拒读写的安全规则配置下仍能在模拟器正常执行，本质是对Firebase安全规则的作用边界、云函数触发器的触发逻辑存在认知偏差，具体拆解如下：

• 第一，Firestore安全规则只对特定通道的请求生效
  这套规则的本质是API层的访问拦截器，仅校验通过普通权限通道发起的数据库访问：比如Web/移动端客户端SDK、未提权的服务端SDK发起的读写操作。只要是通过初始化完成的Admin SDK发起的操作，会完全绕过所有安全规则校验——这也是你已知addMessage能正常运行的原因。你配置的全拒规则allow read, write: if false，只是挡住了所有普通权限的访问通道，根本不会阻断Admin SDK的写操作。
• 第二，Firestore云函数触发器的逻辑和安全规则完全独立
  像onCreate这类数据库事件触发器，属于Firestore存储层的内置能力，根本不会经过API层的安全规则校验流程。只要你指定监听的路径下真的产生了文档变更（不管这个变更是Admin SDK写入的、还是控制台手动操作产生的），系统都会直接把变更事件推送给匹配的云函数执行，和安全规则设成什么值没有关联。
• 第三，模拟器的实际执行链路和你预期的逻辑并不冲突
  你在模拟器里看到makeUppercase运行的完整流程是：addMessage通过Admin SDK绕过安全规则往数据库写入文档 → 数据库产生真实的文档创建变更 → 绑定该路径的makeUppercase监听到变更事件并执行。整个链路里没有任何节点需要走安全规则校验，所以即便规则设为全拒，函数依然能正常触发。

补充说明：如果是普通客户端SDK试图在这套全拒规则下写文档，会直接被安全规则拦截，写操作根本不会落地，自然也就不会触发对应的云函数。但Admin SDK的写操作不受这个限制，产生的变更依然会正常触发绑定的触发器。

内容的提问来源于stack exchange，提问作者mihirjoshi