Firebase中如何按字段混合安全规则？能否允许未认证用户单字段修改？

一、如何混合配置字段级安全规则 #

Firebase安全规则采用层级继承+子节点覆盖的逻辑，你可以先在父节点定义通用权限规则，再针对特定子字段单独配置差异化权限，轻松实现混合管控：

• 父节点的规则会默认继承给所有子节点，比如你在foobar节点设置.read: true，那么它的所有子字段（包括foo）的读取权限都会自动沿用这个规则，不用重复定义。
• 子节点可以单独重写某个权限（比如.write），直接覆盖父节点的对应规则，以此实现不同字段的权限差异化。

简单来说，就是先搭好全局（父节点）的基础权限框架，再给需要特殊处理的字段单独定制规则，两者结合就是混合配置的核心思路。

二、允许未认证用户仅写入单个字段的可行性 #

完全可以实现！你给出的示例规则已经踩中了正确方向，我来拆解一下它的具体效果：

"foobar": { 
  ".read": true, 
  ".write": "auth != null", 
  "foo": { ".write": true } 
}

这个规则的作用细节如下：

1. 读取权限：所有用户（无论是否认证）都能读取foobar节点下的所有数据，因为父节点的.read: true是全局生效的。
2. 写入权限：
   • 针对整个foobar节点的写入操作（比如用set()方法覆盖整个节点）：必须是已认证用户（auth != null）才能执行，未认证用户会被拒绝。
   • 仅针对foo字段的写入/更新操作（比如用update({foo: "new_value"})）：所有用户（包括未认证用户）都可以执行，因为foo字段单独设置了.write: true，直接覆盖了父节点的写入限制。

关键注意点 #

• 未认证用户只能通过部分更新（update()方法）来修改foo字段，如果尝试用set()方法覆盖整个foobar节点，会触发父节点的.write规则检查，未认证状态下会被拒绝。
• 如果你想进一步限制：即使已认证用户也只能修改foo字段，不能碰其他字段，可以在父节点的.write规则里追加条件，比如：

  "foobar": { 
    ".read": true, 
    ".write": "auth != null && newData.hasOnly(['foo'])", 
    "foo": { ".write": true } 
  }
  

  这样已认证用户也只能修改foo字段，未认证用户依然可以自由操作foo，其他字段则完全无法被写入。

内容的提问来源于stack exchange，提问作者user2856066