Firebase 即時資料庫安全性規則可決定資料庫的讀取和寫入權限、資料結構，以及存在的索引。這些規則會儲存在 Firebase 伺服器上，並一律自動強制執行。只有在規則允許的情況下，系統才會完成每項讀取和寫入要求。根據預設，您的規則不會允許任何人存取資料庫。這麼做是為了保護資料庫免於遭到濫用，直到您有時間自訂規則或設定驗證機制為止。
即時資料庫安全性規則採用類似 JavaScript 的語法，共有四種類型：
| 規則類型 | |
|---|---|
| .read | 說明是否允許使用者讀取資料，以及允許讀取的時間。 |
| .write | 說明是否允許寫入資料，以及允許寫入資料的時間。 |
| .validate | 定義正確格式的值會長什麼樣子、是否有子項屬性，以及資料類型。 |
| .indexOn | 指定要索引的子項，以便排序和查詢。 |
Realtime Database 安全性總覽
Firebase Realtime Database 提供一整套工具，可用於管理應用程式的安全性。這些工具可讓您輕鬆驗證使用者、強制執行使用者權限，以及驗證輸入內容。
相較於採用其他多種技術堆疊的應用程式，Firebase 應用程式會執行更多用戶端程式碼。因此，我們處理安全性的方式 可能會與您慣用的方式略有不同。
驗證
保護應用程式安全的第一步通常是識別使用者。這項程序稱為「驗證」。您可以使用 Firebase 驗證讓使用者登入應用程式。Firebase 驗證支援 Google 和 Facebook 等常見驗證方法的直接支援，以及電子郵件和密碼登入、匿名登入等。
使用者身分是重要的安全概念。不同使用者擁有的資料不同，有時也會有不同的功能。舉例來說，在即時通訊應用程式中，每則訊息都會與建立該訊息的使用者建立關聯。使用者也可以刪除自己的訊息，但無法刪除其他使用者張貼的訊息。
授權
辨識使用者只是安全性措施的一部分。知道這些使用者身分後，您需要設法控管他們對資料庫資料的存取權。您可以透過即時資料庫安全性規則控管個別使用者的存取權。例如，以下這組安全性規則允許所有人讀取 /foo/ 路徑，但都不允許寫入路徑：
{
"rules": {
"foo": {
".read": true,
".write": false
}
}
}.read 和 .write 規則會層層套用，因此這個規則集會授予對路徑 /foo/ 和任何更深路徑 (例如 /foo/bar/baz) 中的所有資料的讀取權限。請注意，資料庫中的 .read 和 .write 規則範圍較小，會覆寫更深層的規則，因此本範例仍會授予 /foo/bar/baz 的讀取權限，即使路徑 /foo/bar/baz 中的規則評估為 false 也一樣。
即時資料庫安全性規則包含內建變數和函式，可讓您參照其他路徑、伺服器端時間戳記、驗證資訊等。以下是授予已驗證使用者 /users/<uid>/ 寫入存取權的規則範例，其中 <uid> 是透過 Firebase Authentication 取得的使用者 ID。
{
"rules": {
"users": {
"$uid": {
".write": "$uid === auth.uid"
}
}
}
}驗證資料
Firebase Realtime Database 是無結構定義的資料類型。這可以讓您在開發期間輕鬆進行變更，但應用程式準備好發布後，資料保持一致非常重要。規則語言包含 .validate 規則，可讓您使用與 .read 和 .write 規則相同的運算式套用驗證邏輯。唯一的差異在於驗證規則不會遞迴，因此所有相關驗證規則都必須評估為 true，才能允許寫入作業。
這些規則會強制規定寫入 /foo/ 的資料必須是小於 100 個字元的字串：
{
"rules": {
"foo": {
".validate": "newData.isString() && newData.val().length < 100"
}
}
}驗證規則可存取 .read 和 .write 規則的所有內建函式和變數。您可以使用這些憑證來建立驗證規則，以留意資料庫內其他位置的資料、使用者的身分、伺服器時間等。
定義資料庫索引
Firebase Realtime Database 可讓您排序及查詢資料。針對小型資料，資料庫支援臨時查詢，因此在開發期間通常不需要索引。不過在啟動應用程式之前，請務必為任何查詢指定索引，以確保查詢能隨著應用程式成長繼續運作。
您可以使用 .indexOn 規則指定索引。以下是索引宣告範例，會為恐龍清單的高度和長度欄位建立索引：
{
"rules": {
"dinosaurs": {
".indexOn": ["height", "length"]
}
}
}