Firebase身份验证：规则限制下如何获取其他用户节点数据？

首先得明确：当前的规则".read": "$uid === auth.uid"是严格限制每个认证用户只能读取自己对应的users/$uid节点，这是Firebase推荐的最小权限模型，但如果业务需要访问其他用户的数据，有几种安全且合规的方案：

方案1：针对性放宽规则（适用于明确的访问场景） #

如果你的业务有明确的访问条件（比如用户数据公开、管理员权限、好友关系等），可以在规则中添加额外的判断逻辑，既满足需求又不破坏整体安全：

示例1：允许读取公开用户的数据 #

给每个用户节点添加一个isPublic布尔字段，规则中允许所有认证用户读取标记为公开的用户数据：

{
  "rules": {
    "users": {
      "$uid": {
        ".read": "$uid === auth.uid || data.child('isPublic').val() === true",
        ".write": "$uid === auth.uid"
      }
    }
  }
}

示例2：允许管理员读取所有用户数据 #

通过Firebase Auth自定义声明给管理员用户添加admin标记，规则中校验该标记：

{
  "rules": {
    "users": {
      "$uid": {
        ".read": "$uid === auth.uid || auth.token.admin === true",
        ".write": "$uid === auth.uid || auth.token.admin === true"
      }
    }
  }
}

方案2：使用云函数作为中间层（最安全的灵活方案） #

直接放宽规则可能有数据泄露风险，更推荐用Firebase云函数作为代理：云函数拥有数据库的管理员权限，可以绕过规则，但你可以在函数内部实现精细的权限校验（比如检查请求用户和目标用户的关系、验证操作合法性等）。

示例云函数（Node.js） #

const functions = require("firebase-functions");
const admin = require("firebase-admin");
admin.initializeApp();

exports.getUserData = functions.https.onCall(async (data, context) => {
  // 首先校验用户已认证
  if (!context.auth) {
    throw new functions.https.HttpsError(
      "unauthenticated",
      "请先登录后再尝试获取用户数据"
    );
  }

  const targetUid = data.targetUid;
  // 这里可以添加自定义校验逻辑，比如：
  // 1. 检查请求用户和目标用户是否是好友
  // 2. 验证请求用户是否有访问该数据的权限
  // 3. 过滤敏感字段，只返回允许公开的内容

  // 读取目标用户数据
  const userSnapshot = await admin.database().ref(`users/${targetUid}`).once("value");
  const userData = userSnapshot.val();

  // 可选：过滤敏感信息，比如移除密码哈希、隐私设置等
  delete userData.passwordHash;

  return userData;
});

客户端只需调用这个云函数，就能安全获取其他用户的数据，同时所有权限逻辑都在服务器端控制，避免客户端直接操作数据库带来的风险。

方案3：同步公开数据到公共节点（适用于批量公开场景） #

如果有部分用户数据需要对所有用户公开（比如昵称、头像），可以将这部分数据同步到一个专门的publicUsers节点，给该节点设置宽松的读取权限，而原始users节点仍保持严格的权限控制。

示例：用云函数自动同步公开数据 #

exports.syncPublicUserData = functions.database
  .ref("users/{uid}/publicProfile")
  .onWrite(async (change, context) => {
    const uid = context.params.uid;
    const publicProfile = change.after.val();

    // 将公开数据同步到publicUsers节点
    return admin.database().ref(`publicUsers/${uid}`).set(publicProfile);
  });

对应的数据库规则：

{
  "rules": {
    "users": {
      "$uid": {
        ".read": "$uid === auth.uid",
        ".write": "$uid === auth.uid"
      }
    },
    "publicUsers": {
      ".read": "auth !== null", // 所有认证用户都能读取
      "$uid": {
        ".write": "$uid === auth.uid" // 只能修改自己的公开数据
      }
    }
  }
}

重要提醒 #

无论选择哪种方案，都要遵循最小权限原则：只开放必要的访问权限，避免过度放宽规则导致敏感数据泄露。优先推荐使用云函数方案，因为它能在保持数据库规则严格的同时，实现灵活且安全的跨用户数据访问。

内容的提问来源于stack exchange，提问作者Michael