Firestore Blob集合读取规则定制：密钥验证与所有者权限

我来帮你调整Firestore安全规则，实现你需要的双重读取权限逻辑：任何用户（无论是否认证）只要知晓Blob的secret密钥就能读取；否则必须是已登录的Blob所有者才能读取。

完整的安全规则代码 #

service cloud.firestore {
  match /databases/{database}/documents {
    // 替换成你实际的Blob集合路径，比如你的集合叫blobs就用下面的匹配
    match /blobs/{blobId} {
      allow read: if 
        // 条件1：请求携带的secret与文档存储的secret一致（无需认证）
        request.query.secret == resource.data.secret ||
        // 条件2：已认证用户且是该Blob的所有者
        (request.auth != null && request.auth.uid in resource.data.owner);
    }
  }
}

规则逻辑详解 #

• 条件1（无需认证的密钥验证）：当客户端发起读取请求时，需要通过查询参数携带secret（比如用db.collection("blobs").where("secret", "==", "abc123").get()），规则会对比请求中的secret和文档存储的secret字段是否匹配，匹配则允许读取，不管用户是否登录。
• 条件2（所有者权限验证）：这是你原来的逻辑，request.auth != null确保用户已完成认证，request.auth.uid in resource.data.owner检查当前用户的UID是否在Blob的owner对象的键中（对应你示例里owner: { "uid-101": true }的结构，in操作符可以直接判断UID是否属于所有者列表）。

注意事项 #

• 客户端必须通过查询条件传递secret，而不是先获取文档再判断，因为Firestore规则会直接拦截不符合权限的请求，避免敏感数据泄露。
• 记得把规则中的/blobs/{blobId}替换成你实际的Blob集合路径。
• 测试时可以覆盖这几个场景：
  • 未登录用户携带正确secret：应该成功读取
  • 未登录用户无secret/secret错误：读取被拒绝
  • 已登录的所有者用户：无论是否带secret都能读取
  • 已登录的非所有者用户：无正确secret则读取被拒绝

内容的提问来源于stack exchange，提问作者augustzf