Firebase聊天应用.write规则配置需求：按用户名阻止指定用户写入

当然可以通过Firebase安全规则实现基于用户名的消息发送限制！不过得先做好几个前置准备，毕竟Firebase的安全规则核心是围绕用户UID展开的，我们需要把用户名和UID关联起来才能进行判断。

第一步：确保用户名与UID的映射存储 #

首先你需要在Firebase数据库（Firestore或者Realtime Database）里存储用户UID和用户名的对应关系，比如在Firestore里创建一个users集合，每个文档ID是用户的UID，文档里包含username字段：

// Firestore users集合示例
{
  "users": {
    "abc123xyz": { "username": "blocked_user_01" },
    "def456uvw": { "username": "legitimate_user" }
  }
}

⚠️ 这里一定要保证用户名的唯一性，并且通过安全规则保护users集合的username字段不被篡改，否则恶意用户可能修改自己的用户名绕过限制。

第二步：编写安全规则实现黑名单判断 #

接下来就可以在安全规则里通过UID获取对应的用户名，再判断是否在黑名单中。

方案1：直接读取数据库中的用户名（适合小规模场景）

如果你的用户量不大，直接在规则中读取users集合的用户名是最简单的方式：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 假设聊天消息存储在messages集合下
    match /messages/{messageId} {
      allow write: if !isBlocked(request.auth.uid);
    }

    // 辅助函数：判断当前用户是否在黑名单
    function isBlocked(uid) {
      // 未认证用户直接禁止写入
      if (uid == null) return true;
      // 通过UID获取用户的用户名
      let userDoc = get(/databases/$(database)/documents/users/$(uid));
      let username = userDoc.data.username;
      // 替换成你要阻止的用户名列表
      let blockedUsernames = ["blocked_user_01", "spammer_account"];
      // 返回是否在黑名单中
      return username in blockedUsernames;
    }
  }
}

方案2：使用自定义Claims（性能更优，适合大规模场景）

如果担心频繁读取users集合的性能问题，可以把用户名存储在Firebase Auth的自定义Claims中。自定义Claims会包含在用户的JWT令牌里，规则读取时不需要额外的数据库请求。

首先在后端（比如Cloud Functions）设置用户的自定义Claims：

// Cloud Functions示例代码
const admin = require('firebase-admin');
admin.initializeApp();

// 给指定UID的用户设置用户名Claims
exports.setUserUsernameClaim = functions.https.onCall(async (data, context) => {
  // 确保只有管理员能执行此操作
  if (!context.auth.token.admin) {
    throw new functions.https.HttpsError('permission-denied', 'Only admins can set claims');
  }
  const { uid, username } = data;
  await admin.auth().setCustomUserClaims(uid, { username: username });
  return { success: true };
});

然后在安全规则中直接读取Claims里的用户名：

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    match /messages/{messageId} {
      allow write: if !isBlocked(request.auth);
    }

    function isBlocked(auth) {
      if (auth == null) return true;
      // 直接从Auth令牌中获取用户名
      let username = auth.token.username;
      let blockedUsernames = ["blocked_user_01", "spammer_account"];
      return username in blockedUsernames;
    }
  }
}

关键注意事项 #

• 保护黑名单的安全性：如果你的黑名单是动态维护的（比如存储在数据库中），一定要设置安全规则确保只有管理员能修改黑名单列表，避免普通用户篡改。
• 处理用户名更新：如果允许用户修改用户名，记得同步更新对应的映射（无论是users集合还是自定义Claims），否则规则会失效。

内容的提问来源于stack exchange，提问作者user1646615