如何编写Firebase安全规则限制写入仅为当前值递增(+1)？

Hey there! 针对你这个无门槛Firebase计数递增的需求，我来帮你梳理出安全又符合要求的实现方案👇

首先要说明：Firebase现在已经不推荐完全开放的数据库（容易被恶意攻击刷数据），而匿名身份验证是完美的替代方案——用户打开页面自动完成登录，完全无感知，同时能满足安全规则的身份校验要求。

第一步：开启Firebase匿名登录 #

在你的Firebase控制台里，进入「Authentication」→「登录方法」，找到「匿名」选项并启用它，这一步很关键，否则安全规则会拦截未认证的请求。

第二步：编写安全规则 #

接下来是核心的安全规则，我们要严格限制count节点的写入操作只能是当前值递增1，同时允许匿名用户读写：

{
  "rules": {
    "count": {
      ".read": "auth != null", // 允许已认证用户（包括匿名）读取计数
      ".write": "auth != null && 
                 newData.isNumber() && 
                 (data.exists() ? newData.val() === data.val() + 1 : newData.val() === 1)"
    }
  }
}

规则细节解释： #

• auth != null：确保只有已认证用户（这里就是自动登录的匿名用户）能操作，杜绝完全开放的安全风险
• newData.isNumber()：强制写入的是数字类型，防止有人恶意写入字符串、对象等无效值
• 条件判断部分：
  • 如果count节点已经存在（有历史值），新值必须严格等于旧值+1
  • 如果是第一次访问（节点不存在），允许将初始值设为1（避免第一次操作失败）

第三步：调整你的前端代码 #

你的原代码需要加上匿名登录的逻辑，因为安全规则要求用户必须已认证（匿名登录也算），调整后的代码如下：

$(document).ready(function() {
  // 先初始化Firebase（替换成你自己的项目配置）
  const firebaseConfig = {
    apiKey: "YOUR_API_KEY",
    authDomain: "YOUR_AUTH_DOMAIN",
    databaseURL: "YOUR_DATABASE_URL",
    projectId: "YOUR_PROJECT_ID",
    storageBucket: "YOUR_STORAGE_BUCKET",
    messagingSenderId: "YOUR_SENDER_ID",
    appId: "YOUR_APP_ID"
  };
  firebase.initializeApp(firebaseConfig);

  // 自动匿名登录
  firebase.auth().signInAnonymously()
    .then(() => {
      // 登录成功后执行计数递增的事务操作
      const fbCount = firebase.database().ref("count");
      fbCount.transaction(function(current) {
        return (current || 0) + 1; // 处理初始值为null的情况，避免NaN
      });
    })
    .catch((error) => {
      console.error("匿名登录失败，请检查Firebase配置:", error);
    });
});

前端代码优化点： #

• 加入了匿名登录流程，确保符合安全规则的身份要求
• 事务操作里用(current || 0) + 1，完美处理初始时current为null的情况，避免出现NaN

这样配置后，用户打开页面就会自动完成匿名登录，然后安全地将count值递增1，而且任何人都无法随意修改这个值（比如直接改成1000或者写入无效内容），只能每次加1，完全符合你的需求！

内容的提问来源于stack exchange，提问作者mix