📌 firebase-security-rules-auditor 是什么？

Firebase 的安全规则写错一条，数据可能就裸奔了。firebase-security-rules-auditor 是官方技能，让 AI 帮你审查安全规则，找出过宽、缺失、有风险的配置并给出修复。

它是 Firestore/Storage 安全规则的"安全检查员"。

🧩 核心功能

规则审查：检查读写权限是否过宽。

风险识别：找出公开访问、越权、逻辑漏洞。

修复建议：给出收紧权限的具体改法。

最佳实践：按最小权限原则重构。

👍 优点

针对性强：能发现常见漏洞。

可执行：给出修复。

提前排雷：上线前审查。

⚠️ 不足与局限

最终是否符合业务仍需人工判断。

规则逻辑复杂时需仔细。

规则要结合实际测试。

🙋 适合谁用

开发者：上线前审查安全规则。

安全团队：做 Firebase 安全审计。

🛠️ 第一次安装

前提：电脑装了 Node.js（18+），有支持 Skill 的 AI 工具（如 Claude Code）。打开终端执行：

bash
npx skills add firebase/agent-skills --skill firebase-security-rules-auditor

CLI 会自动检测你装的 AI 助手，确认安装位置后即可使用。

✍️ 上手：几个真实例子

场景一：审查

提示词
帮我审查这套 Firestore 安全规则，找出越权和公开访问的风险。

场景二：修复

提示词
帮我把这套规则改成最小权限。

🎯 典型应用场景

上线前审查：安全检查。

修复：收紧权限。

审计：安全审计。

⚖️ 和类似方案对比

和"凭感觉写安全规则"相比，auditor 的价值是"系统审查"——规则里的过宽权限、越权路径、公开访问，它都能系统找出来。Firebase 数据泄露，很多就是因为规则写错了，上线前审一遍很有必要。

💡 常见问题 FAQ

问：最小权限原则是什么？
默认拒绝、按需放行。

问：怎么验证？
用模拟器或测试账号验证关键路径。

问：规则会过宽吗？
会，比如 allow read: if true 就是裸奔。

问：多久审一次？
上线前必审，规则改动后也审。

📌 总结

总的来说，firebase-security-rules-auditor 的价值在于把原本繁琐、重复、容易出错的工作，变成几句对话就能搞定。如果你正好是它的目标用户，装一个试试——成本很低，上手只要几分钟，带来的效率提升却实实在在。如果需求比较轻量，也可以先让 AI 演示一遍再决定是否长期使用。

🤖 适合哪些 AI 工具

Firebase 官方 Skill，Claude Code、Cursor、Codex 等支持 Skill 的工具都能装。