升级 Firebase SDK 至 10.5.0 后，因安全规则与 API 使用方式不匹配（如误对父节点 list 调用 set），导致看似“无报错”的静默权限拒绝；核心解决方法是将写操作精准指向新生成的子节点引用（newRef），而非父路径。
升级 firebase sdk 至 10.5.0 后，因安全规则与 api 使用方式不匹配（如误对父节点 `list` 调用 `set`），导致看似“无报错”的静默权限拒绝；核心解决方法是将写操作精准指向新生成的子节点引用（`newref`），而非父路径。
在 Firebase Web SDK v10+ 中，模块化 API 的设计更强调显式、细粒度的操作语义，而安全规则（Security Rules）则严格依据请求路径进行权限校验。你当前代码中的关键问题在于：
const listRef = databaseRef(database, 'list'); // 指向整个 'list' 节点
const newRef = push(listRef); // 生成唯一子节点引用，例如 'list/-Nabc123'
// ❌ 错误：对父节点 'list' 执行 set()
set(listRef, { name, createdBy: auth.currentUser?.uid })
.catch(error => console.log('Error:', error)); // 触发 '.write' 拒绝 —— 规则未授权 'list' 节点本身写入
你的 Realtime Database 安全规则明确限制了 list 节点的写权限：
"list": {
"$id": {
".write": "newData.child('createdBy').val() == auth.uid",
".read": false
},
".indexOn": "createdBy"
}
该规则仅允许对 list/{$id} 这类具体子节点执行写入（且要求 createdBy 字段匹配当前用户 UID），但完全禁止对 list 父节点本身调用 set() —— 因为 list 路径下没有定义 .write: true 或条件写入逻辑。
✅ 正确做法是：将数据写入由 push() 创建的唯一子节点引用 newRef，使其路径自然落入 $id 通配符规则覆盖范围：
// ✅ 正确：写入新生成的子节点（如 list/-Nabc123）
set(newRef, {
name: name,
createdBy: auth.currentUser?.uid, // ⚠️ 务必包含 createdBy！否则规则校验失败
imageUrl: downloadURL,
createdAt: new Date().toISOString()
})
.then(() => {
console.log('Item added successfully with key:', newRef.key);
// 清空表单、跳转或提示成功
})
.catch((error) => {
console.error('Database write failed:', error.code, error.message);
showMessageByID(`Save failed: ${error.message}`, '#message');
});
⚠️ 关键注意事项：
-
createdBy 字段不可省略：规则中 newData.child('createdBy').val() == auth.uid 要求该字段存在且值精确匹配当前用户 UID。若 auth.currentUser 为 null（用户未登录），或未在数据中显式设置 createdBy，写入将被拒绝。建议在写入前校验登录状态：
if (!auth.currentUser) { showMessageByID('Please sign in to add items.', '#message'); return; } - 避免 set() 覆盖整个 list 节点：set(listRef, ...) 会清空 list 下所有现有子项，违背业务逻辑且违反规则。push() + set(newRef, ...) 是添加新条目的标准模式。
-
错误捕获增强：set() 的 catch 块实际会捕获权限错误（如 Permission denied），但你的原始代码中 console.log('Error object:', error) 可能因异步执行时机或控制台过滤被忽略。建议统一使用 error.code 判断：
if (error.code === 'PERMISSION_DENIED') { showMessageByID('Insufficient permissions. Please check your login status.', '#message'); }
总结：Firebase SDK v10+ 的模块化设计与安全规则协同工作时，必须确保API 调用路径（如 newRef）与规则匹配路径（如 list/$id）严格一致。升级后务必重新审视数据写入目标路径是否符合规则结构，而非沿用旧版 SDK 的隐式行为习惯。
