在Firestore的实际开发中，我们经常会遇到动态生成文档字段的场景，比如用户自定义属性、按时间戳生成的字段、动态标签等，这些字段的键名不是固定的，无法通过传统的安全规则逐一定义验证条件。这时候就需要用到安全规则中的动态字段匹配能力，来实现对这类字段的校验。
Firestore安全规则基础
Firestore的安全规则用于限制数据库的读写操作，规则的核心逻辑是判断请求是否满足预设条件，只有满足条件的请求才能执行对应操作。规则的基本结构如下：
service cloud.firestore {
match /databases/{database}/documents {
// 匹配集合的规则写在这里
match /users/{userId} {
allow read: if true;
allow write: if request.auth != null;
}
}
}
其中match语句用于匹配数据库路径，allow语句定义允许的操作和条件。
动态字段的匹配语法
Firestore安全规则支持用通配符匹配动态的字段名，常用的通配符是{field}，它可以匹配任意单个字段名。如果需要匹配嵌套结构中的动态字段，可以结合resource.data和request.resource.data来遍历数据。
验证动态字段时，我们通常需要做两件事：第一是确认动态字段的键名符合预期格式，第二是确认动态字段的值符合类型或取值范围要求。
验证动态字段的键名
如果需要限制动态字段的键名只能是数字或者特定前缀开头，可以使用matches方法做正则匹配。比如我们要限制动态字段的键名必须是数字字符串：
service cloud.firestore {
match /databases/{database}/documents {
match /metrics/{docId} {
allow write: if request.resource.data.keys()
.filter(field => {
return field.matches("^[0-9]+$");
}).size() == request.resource.data.keys().size();
}
}
}
上面的规则表示，metrics集合中文档的所有键名必须是纯数字字符串，否则写入请求会被拒绝。
验证动态字段的值
验证动态字段的值时，需要遍历所有动态字段，逐一检查其值的合法性。比如我们要求所有动态字段的值都必须是数字类型：
service cloud.firestore {
match /databases/{database}/documents {
match /user_profiles/{userId} {
allow write: if request.resource.data.diff(resource.data).affectedKeys()
.toList()
.filter(field => {
// 排除固定字段，只验证动态字段
return field != "name" && field != "age" && field != "email";
})
.map(field => {
return request.resource.data[field] is int || request.resource.data[field] is float;
})
.allMatches(condition => condition == true);
}
}
}
这个规则中，我们先获取本次写入中变更的字段，过滤掉固定的三个字段，剩下的动态字段的值必须是int或者float类型，否则写入失败。
完整示例：验证动态生成的用户自定义属性
假设我们有一个custom_attributes集合，存储用户的自定义扩展属性，动态字段的键名是用户自定义的名称，值只能是字符串或者布尔类型，同时键名长度不能超过20个字符。对应的安全规则如下：
service cloud.firestore {
match /databases/{database}/documents {
match /custom_attributes/{docId} {
// 允许已登录用户读取
allow read: if request.auth != null;
// 写入时验证动态字段
allow write: if request.auth != null
&& request.resource.data.keys()
.filter(field => {
// 排除固定字段uid
return field != "uid";
})
.map(field => {
// 键名长度不超过20
bool keyValid = field.size() <= 20;
// 值只能是字符串或者布尔类型
bool valueValid = request.resource.data[field] is string || request.resource.data[field] is bool;
return keyValid && valueValid;
})
.allMatches(condition => condition == true);
}
}
}
这个规则既限制了动态字段的键名长度，也限制了值的类型，同时只允许已登录用户操作数据，保障了集合的数据安全。
注意事项
- 安全规则中的遍历操作有性能限制，不要对超大文档做复杂的多层遍历，避免规则执行超时。
- 如果动态字段的数量可能非常多，建议提前在客户端做一层基础校验，减少安全规则的校验压力。
- 规则编写完成后一定要在Firestore控制台的模拟器中进行测试，覆盖各种边界场景，确保规则符合预期。
- 动态字段的匹配逻辑要尽量明确，避免过于宽泛的规则导致非法数据被写入。
Firestore安全规则动态字段验证cloud_firestore修改时间：2026-06-08 23:15:29