如何配置Firebase安全规则实现跨项目已认证用户只读访问？

嘿，这个需求其实很容易通过Firebase的安全规则来实现，核心就是利用用户ID Token里自带的项目归属信息做验证。我给你一步步拆解怎么做：

核心逻辑 #

每个通过Firebase认证的用户，他们的ID Token里都会包含firebase.projectId字段——这个字段就是用户完成认证时所在的Firebase项目ID。我们要做的，就是在需要保护数据的目标项目里，通过安全规则检查这个字段是否匹配你允许的源项目ID，同时确保用户是已登录状态。

具体配置步骤 #

1. 先拿到允许访问的源项目ID #

首先你得确认那个用户用来做认证的Firebase项目的ID，这个可以在Firebase控制台的「项目设置」里找到，记下来后面要用。

2. 编写目标项目的安全规则 #

打开目标项目的Firebase控制台，找到你要保护的服务（Firestore或者实时数据库），进入「规则」页面，替换原有规则为下面的示例：

针对Firestore的规则

rules_version = '2';
service cloud.firestore {
  match /databases/{database}/documents {
    // 允许指定项目的已认证用户读取所有文档，禁止所有写入
    match /{document=**} {
      allow read: if request.auth != null && request.auth.token.firebase.projectId == "你的源项目ID";
      allow write: if false;
    }
  }
}

针对实时数据库的规则

{
  "rules": {
    ".read": "auth != null && auth.token.firebase.projectId == \"你的源项目ID\"",
    ".write": false
  }
}

3. 一些关键细节要注意 #

• 为什么用request.auth.token.firebase.projectId？ 这个是Firebase官方在ID Token里内置的字段，完全可靠，不需要额外配置自定义声明，省了不少事。
• 如果不需要完全开放所有数据的读取权限，只想让用户访问特定集合/路径，可以调整match的路径。比如只允许访问/posts/{postId}：

  match /posts/{postId} {
    allow read: if request.auth != null && request.auth.token.firebase.projectId == "你的源项目ID";
  }
  

• 要是需要开放写入权限，也可以把allow write的条件改成和读取一样，或者根据需求自定义更精细的规则。

4. 测试验证一下 #

配置完规则后，记得测试两种场景：

• 用源项目的已认证用户尝试读取目标项目的数据，应该能正常获取；
• 用其他项目的已认证用户或者未登录用户访问，会被规则拒绝，符合预期。

内容的提问来源于stack exchange，提问作者scienst