firebase-security-rules-auditor 是检查 Firebase 数据访问规则的 Skill，帮助 AI 审查 Firestore 和 Storage 的权限设置，给出风险分级与修改建议。准备上线、改权限或接手旧项目时，都可以把规则交给它看。
文档抓住了一个很容易混淆的地方：限制“只能修改哪些字段”，并没有回答“谁能修改”。例如资料页允许改昵称，还得确认操作人有权修改这份资料；字段范围写得再细，也不能代替所有权检查。
另一个检查重点是创建和更新的区别。新建时符合要求，不代表后续更新也安全。角色、归属等决定权限的数据，不能让请求方随意提交一个值，就被当作可信依据。
使用时把真实协作关系一并说明，例如管理员和普通成员分别能做什么。它会据此组织结构化审查结果，而不是见到某个字段就断言危险。拿到建议后，还需要用实际读写场景验证规则是否既拦住越权，又允许正常业务。