Firebase Realtime Database安全规则：子节点数量限制规则咨询

Hey there! 针对你用max_people和registered_people来控制approved节点子节点数量的需求，我来给你梳理一套靠谱的安全规则写法，同时帮你避开一些常见的坑。

先明确你的数据结构（参考） #

假设你的数据库结构大致是这样的，方便对应规则理解：

{
  "max_people": 50, // 允许的最大子节点数
  "registered_people": 10, // 当前已有的子节点数
  "approved": {
    "user_abc123": true,
    "user_def456": true
    // ... 其他用户节点
  }
}

核心安全规则代码 #

下面是完整的规则配置，我会逐段解释：

{
  "rules": {
    // 这里根据你的实际业务调整读写权限，比如只允许认证用户操作
    ".read": "auth != null",
    ".write": "auth != null",

    // 固定配置项：禁止客户端修改max_people，只能通过控制台/后端设置
    "max_people": {
      ".write": false
    },

    // 校验registered_people的合法性：确保计数准确且不越界
    "registered_people": {
      ".validate": "
        newData.isNumber() && 
        newData.val() >= 0 && 
        newData.val() <= root.child('max_people').val() &&
        // 只能在原计数基础上±1，防止随意篡改
        (newData.val() === root.child('registered_people').val() + 1 || 
         newData.val() === root.child('registered_people').val() - 1)
      "
    },

    // 校验approved节点的新增/删除操作是否符合数量限制
    "approved": {
      "$userId": {
        ".validate": "
          // 新增用户节点时：当前计数+1不超过上限
          (newData.exists() && root.child('registered_people').val() + 1 <= root.child('max_people').val()) ||
          // 删除用户节点时：当前计数-1不小于0
          (!newData.exists() && root.child('registered_people').val() - 1 >= 0)
        "
      }
    }
  }
}

关键细节说明 #

1. 原子操作保证计数准确 #

一定要把approved节点的修改和registered_people的更新放在同一个写操作里，这样能避免并发场景下的计数错误。前端代码示例：

// 新增用户的原子操作
firebase.database().ref().update({
  "approved/user_ghi789": true,
  "registered_people": firebase.database.ServerValue.increment(1)
});

// 删除用户的原子操作
firebase.database().ref().update({
  "approved/user_abc123": null,
  "registered_people": firebase.database.ServerValue.increment(-1)
});

用ServerValue.increment()是最优解，它是Firebase提供的原子递增/递减方法，能完美解决多用户同时操作的并发问题。

2. 防止篡改配置 #

把max_people的.write设为false，确保这个上限值只能由管理员通过控制台或者后端服务修改，避免客户端恶意篡改。

3. 初始化校验 #

如果是新搭建的数据库，一定要先初始化max_people的数值，并且确保registered_people的初始值和approved节点的实际子节点数完全一致，否则规则会阻止后续的所有操作。

额外提醒 #

• 如果你需要更细粒度的权限控制（比如只有管理员能删除用户），可以在.write规则里添加对应的auth校验逻辑。
• 测试规则时，一定要用Firebase控制台的规则模拟器，模拟新增、删除、篡改计数等场景，确保所有边界情况都能被正确拦截。

内容的提问来源于stack exchange，提问作者da1lbi3