Firebase服务器端基于权限的高级过滤：限制用户访问授权消息

嘿，针对你这个在Firebase里实现权限匹配消息过滤的需求，我结合你的数据结构来分享几个实用的方案，都是实际项目里常用的：

这是核心的防护手段，毕竟客户端的任何请求都绕不开Firebase的规则校验，能从根源上防止用户获取超出权限的消息。

假设你的数据结构简化后是这样：

• permissions集合：存储单个权限项（比如{ id: "perm_view_sales", name: "查看销售消息" }）
• users集合：每个用户文档包含permissions数组（比如Rachel的文档里是["perm_view_sales", "perm_view_internal"]）
• messages集合：每个消息文档包含requiredPermissions数组（比如某条销售消息需要["perm_view_sales"]）

那你可以在Firebase控制台的规则里这么配置：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 封装一个获取当前用户权限的函数
    function getUserPermissions() {
      return get(/databases/$(database)/documents/users/$(request.auth.uid)).data.permissions;
    }
    
    // 消息集合的读取规则：用户权限和消息要求的权限有重叠就允许读取
    match /messages/{messageId} {
      allow read: if getUserPermissions().hasAny(resource.data.requiredPermissions);
    }
  }
}

如果用户的权限数量很多，用数组判断效率不高，可以把用户权限改成Map结构（比如permissions: { perm_view_sales: true, perm_view_internal: true }），这样规则里的判断会更高效：

function getUserPermissions() {
  return get(/databases/$(database)/documents/users/$(request.auth.uid)).data.permissions;
}

match /messages/{messageId} {
  allow read: if resource.data.requiredPermissions.hasAny(getUserPermissions().keys());
}

如果你的权限逻辑不复杂，也可以在客户端直接构造查询，只请求用户有权限的消息。比如Rachel的权限是["perm_view_sales", "perm_view_internal"]，就可以用array-contains-any操作符来查询：

// 先获取当前用户的权限数组
const userPermissions = ["perm_view_sales", "perm_view_internal"];
// 构建查询：只拉取requiredPermissions包含任意一个用户权限的消息
const messagesQuery = db.collection("messages")
  .where("requiredPermissions", "array-contains-any", userPermissions);

// 监听查询结果，实时获取有权限的消息
messagesQuery.onSnapshot(snapshot => {
  const accessibleMessages = snapshot.docs.map(doc => ({
    id: doc.id,
    ...doc.data()
  }));
  // 在这里处理返回的消息列表
});

⚠️ 划重点：这种方式必须配合安全规则，因为客户端的查询可以被篡改，规则是最后一道安全防线，确保用户没法拿到不该看的内容。

如果你的权限逻辑特别复杂（比如权限有层级、需要结合其他数据动态计算权限），那用Cloud Functions来处理过滤会更合适。客户端调用云函数，由云函数帮你完成权限校验和消息过滤：

exports.getAccessibleMessages = functions.https.onCall(async (data, context) => {
  // 先判断用户是否登录
  if (!context.auth) {
    throw new functions.https.HttpsError('unauthenticated', '请先登录');
  }
  
  const userId = context.auth.uid;
  // 获取当前用户的权限
  const userDoc = await db.collection("users").doc(userId).get();
  const userPermissions = userDoc.data().permissions;
  
  // 查询并过滤出用户有权限的消息
  const messagesSnapshot = await db.collection("messages")
    .where("requiredPermissions", "array-contains-any", userPermissions)
    .get();
  
  const accessibleMessages = messagesSnapshot.docs.map(doc => ({
    id: doc.id,
    ...doc.data()
  }));
  
  return accessibleMessages;
});

客户端只需要调用这个云函数，就能直接拿到过滤后的消息列表，不用自己处理复杂的权限逻辑。

内容的提问来源于stack exchange，提问作者Savannah