Firebase实时数据库：单用户/群组权限的安全规则与结构设计

我之前做过类似支持单用户/群组读写权限的Firebase实时数据库应用，分享下经过验证的结构设计和安全规则方案，应该能完美匹配你的需求~

你的现有结构已经有了visibility和owner字段的基础，我建议补充一个独立的groups节点来存储群组成员信息，避免在每个数据对象里重复存储成员列表，既节省空间又提升权限校验的效率。最终结构示例如下：

{
  "data": {
    "data1": {
      "id": "data1",
      "name": "Some private data",
      "content": "Only user1 can access this...",
      "visibility": "private", // 可选值：private（私有）/ group（群组共享）
      "owner": "user1",
      "groupId": null // 仅当visibility为group时填写对应群组ID
    },
    "data2": {
      "id": "data2",
      "name": "Team project data",
      "content": "All team members can edit this...",
      "visibility": "group",
      "owner": "user2",
      "groupId": "group_engineering_team"
    }
  },
  "groups": {
    "group_engineering_team": {
      "name": "Engineering Team",
      "owner": "user2",
      "members": {
        "user1": true,
        "user2": true,
        "user3": true // 用UID作为键，值设为true便于快速校验
      }
    }
  }
}

结构设计的核心优势： #

• 权限逻辑清晰：通过visibility直接区分数据类型，groupId关联到具体群组，不用猜逻辑
• 高效校验：groups节点的成员列表用UID作为键，规则里用exists()就能快速判断用户是否属于群组，性能远好于遍历数组
• 低冗余：不用在每个共享数据里重复存成员列表，修改群组成员只需更新groups节点一次

基于上面的结构，安全规则可以精准实现“私有数据仅所有者读写，群组数据允许所有成员读写（可按需调整）”的逻辑：

{
  "rules": {
    // 数据对象的读写规则
    "data": {
      "$dataId": {
        // 读取规则：私有数据仅所有者可读；群组数据允许群组成员读取
        ".read": "
          auth != null && (
            (data.child('visibility').val() === 'private' && auth.uid === data.child('owner').val()) ||
            (data.child('visibility').val() === 'group' && root.child('groups').child(data.child('groupId').val()).child('members').child(auth.uid).exists())
          )
        ",
        // 写入规则：所有者始终有权修改；群组数据允许成员修改（如果需要仅群组所有者可改，可调整条件）
        ".write": "
          auth != null && (
            auth.uid === data.child('owner').val() ||
            (data.child('visibility').val() === 'group' && root.child('groups').child(data.child('groupId').val()).child('members').child(auth.uid).exists())
          )
        "
      }
    },
    // 群组信息的读写规则
    "groups": {
      "$groupId": {
        // 群组信息仅成员可读取
        ".read": "auth != null && root.child('groups').child($groupId).child('members').child(auth.uid).exists()",
        // 群组仅所有者可修改（包括添加/删除成员、修改群组名称等）
        ".write": "auth != null && auth.uid === data.child('owner').val()"
      }
    }
  }
}

规则的关键细节： #

• 登录校验：所有规则都先判断auth != null，确保只有已登录用户能操作
• 私有数据严格管控：仅owner的UID和当前用户UID匹配时，才能读写
• 群组权限灵活调整：如果你的需求是“群组数据仅所有者可修改，成员仅可读”，只需把.write里的群组条件改成auth.uid === root.child('groups').child(data.child('groupId').val()).child('owner').val()
• 高效查询：用root.child('groups').child(...).child('members').child(auth.uid).exists()直接校验成员身份，Firebase会快速定位节点，不会产生额外性能开销

内容的提问来源于stack exchange，提问作者Tomáš Pustelník